Les paramètres de partage par défaut de Grok exposent les données privées des petites équipes

Le constructeur low-code de Grok peut sembler être un miracle de productivité, mais un nouveau rapport de la société de sécurité Claroc montre que presque toutes les applications créées avec cet outil sont exposées au monde par défaut. Le fait le plus marquant ? 35 578 des 37 571 applications Grok en ligne – soit 94,7 % – peuvent être ouvertes par quiconque possède le lien, divulguant tout, des valeurs de laboratoire des soins intensifs aux mots de passe en texte brut.

Ce qui s'est passé

Selon The Decoder, Claroc a analysé 37 571 applications construites avec Grok qui étaient encore en ligne et a découvert que 35 578 étaient accessibles publiquement. L'option par défaut « Quiconque possède le lien » est présélectionnée dans la boîte de dialogue de publication, ce qui signifie qu'un créateur n'a besoin que de cliquer sur « Publier » pour que l'application apparaisse sur un sous-domaine unique (par exemple, appname.grok.me). Ces sous-domaines apparaissent dans les bases de données DNS passives, les rendant recherchables par motif.

Parmi les 24 applications accessibles publiquement appartenant à SpaceXSI (l'entreprise derrière Grok, anciennement xAI), figuraient un plan d'intégration confidentiel, une carte des zones de vente couvrant 594 comptes stratégiques et huit propositions publicitaires internes – dont une marquée confidentielle pour une agence fédérale des États-Unis. Claroc estime que 650 à 800 applications contiennent des données privées, classant environ deux pour cent d'entre elles comme « particulièrement graves ». Les fuites confirmées incluent un briefing de soins intensifs avec des valeurs de laboratoire de patients, une liste de plus de 3 500 employés d'un groupe hospitalier, un planning de service des pompiers et une application de feuille de temps dont le code source stockait 18 comptes avec des mots de passe en texte brut.

Claroc a également créé deux applications de test pour sonder la sécurité de la plateforme. Une application de liste de contacts avait une base de données sans connexion, permettant aux visiteurs anonymes d'ajouter des entrées. Dans une application de liste d'équipe de vente, Grok ajoutait automatiquement tout utilisateur Google ou X authentifié à l'équipe avant de vérifier l'appartenance, permettant à un compte Google externe de lire, modifier et supprimer des enregistrements. La société note que le changement du paramètre de confidentialité de l'application en « Vous seul » bloque l'accès externe, mais que ce n'est pas le réglage par défaut. En revanche, une application de test comparable construite avec ChatGPT était réglée par défaut sur « Moi seul ».

La réponse de SpaceXSI s'est limitée à affirmer que les applications restent privées jusqu'à ce que le créateur les partage et que les comptes des employés sont réglés par défaut sur « Vous seul ». Claroc rétorque que les clics supplémentaires sont inutiles lorsque « Quiconque possède le lien » est présélectionné à l'étape finale. L'entreprise a retiré les 24 applications des employés, mais a laissé le reste du pool d'applications publiques intact.

Pourquoi c'est important pour les petites équipes

Si vous êtes un dirigeant de petite entreprise qui a utilisé Grok pour créer des tableaux de bord internes, des calculateurs ou des outils d'intégration, vous êtes probablement assis sur un point d'accès public sans même le savoir. Le modèle de partage par défaut transforme une fonctionnalité pratique en vecteur de fuite de données, et l'empreinte DNS passive signifie que quiconque avec un peu de curiosité peut découvrir les URL de vos applications. Pour une équipe de vente, cela pourrait signifier exposer votre pipeline, vos comptes stratégiques ou même des propositions confidentielles à vos concurrents. Pour les RH ou les opérations, cela pourrait signifier divulguer des listes d'employés, des plannings de service ou des données de santé – un cauchemar pour la conformité et la confiance de la marque.

Le fait qu'environ une application sur dix contenait du matériel sensible, et que Claroc ait identifié 30 organisations (dont six entreprises du Fortune 500) affectées, montre que ce n'est pas un problème de niche. Les petites équipes manquent souvent de personnel de sécurité dédié, donc un réglage ouvert par défaut peut passer inaperçu lors des revues internes. En résumé, la commodité de Grok a un coût caché : vous pourriez diffuser vos informations commerciales les plus sensibles sur Internet.

Ce qu'il faut faire cette semaine

1. Auditer chaque application Grok que vous possédez – ouvrez chaque URL d'application dans une fenêtre de navigation privée ; si elle se charge sans connexion, changez immédiatement le paramètre de confidentialité en « Vous seul ».
2. Renommer ou retirer les sous-domaines publics – déplacez les applications critiques vers un hôte partagé avec des chemins obscurs, ou supprimez-les si elles ne sont plus nécessaires.
3. Mettre en place une liste de contrôle pour les futures constructions – exiger une étape obligatoire de revue de sécurité qui vérifie que le partage par défaut est désactivé et que toute base de données a une authentification appropriée avant la publication.

Sources

• Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline — The Decoder