Des chercheurs ont trouvé 35 578 applis créées avec Grok que n’importe qui pouvait ouvrir

Grok, l’assistant IA de SpaceXSI (l’entreprise auparavant appelée xAI), peut créer une application Web fonctionnelle à partir d’une description tapée dans son clavardage et la publier à sa propre adresse sous grok.me. L’entreprise de sécurité Claroc a publié le 10 novembre 2026 une recherche qu’elle appelle GhostShares 2 (en anglais), qui montre que des dizaines de milliers de ces applis s’ouvrent pour n’importe qui, et que certaines contiennent des données qui n’ont jamais été censées être publiques. The Hacker News (en anglais) en a parlé le 11 novembre. Voici ce que les chercheurs ont montré, et où s’arrêtent leurs constats.

Comment les applis ont été trouvées

Chaque appli Grok publiée reçoit son propre nom d’hôte. Quand quelqu’un en ouvre une, son ordinateur cherche ce nom dans le DNS, et des services commerciaux de DNS passif enregistrent ces recherches et permettent à leurs clients de les fouiller par motif. Claroc dit que c’est ainsi qu’elle a bâti sa liste : elle n’a jamais eu besoin que quelqu’un lui partage un lien. Grok propose quatre mots au hasard comme nom d’appli, que personne ne devinerait, mais un nom qui se trouve déjà dans une liste consultable n’a pas besoin d’être deviné.

Claroc a chargé une seule fois la première page de chaque appli, depuis Internet, sans se connecter.

Ce qu’ils ont trouvé

• Claroc a essayé 43 551 adresses. 37 571 applis étaient encore en ligne, et 35 578 d’entre elles (94,7 %) s’ouvraient pour n’importe qui, sans connexion.
• La plupart étaient des jeux, des pages d’accueil et des calculatrices. Environ 1 sur 10 contenait des données internes d’entreprise ou des données personnelles, et Claroc estime qu’environ 650 à 800 applis contenaient des données privées.
• 24 applis ouvertes avaient été créées par des employés de SpaceXSI et de X, dont un plan d’accueil confidentiel pour une nouvelle recrue en ventes, une carte de territoires de vente de 594 comptes et une proposition publicitaire de X à une agence fédérale américaine marquée confidentielle.
• Des applis de 30 autres organisations que Claroc a pu identifier contenaient des données internes. 26 comptent plus de 1 000 employés et six font partie du Fortune 500, dans la construction, l’énergie, la santé, le transport et la défense.
• Parmi les exemples que Claroc a confirmés à la main : la liste consultable de plus de 3 500 employés d’un groupe hospitalier, un compte rendu de soins intensifs sur un patient, le tableau de quarts en direct d’un service d’incendie, et la feuille de temps d’un entrepreneur dont le code, téléchargé par le navigateur de chaque visiteur, contenait le mot de passe de chaque employé en clair.

Ce que Claroc a testé sur ses propres applis

Pour voir quelle sécurité Grok ajoute quand personne ne la demande, Claroc a créé deux applis de test avec des données inventées et les a publiées avec le réglage d’accès que Grok proposait, soit « Anyone with the link » (toute personne ayant le lien) dans son compte payant.

• Une liste de contacts a reçu une base de données et aucune connexion. Depuis une fenêtre de navigation privée, les chercheurs ont ajouté une ligne que le visiteur suivant a vue.
• Une liste de clients « pour une équipe de vente de 4 » a reçu des boutons « Continuer avec Google » et « Continuer avec X ». Mais le code écrit par Grok ajoutait à l’équipe toute personne qui se connectait avant de vérifier si elle en faisait partie. Un compte Google non invité est entré, a vu tous les clients, a modifié une fiche et en a supprimé une autre.

Ce qui a été démontré, et ce qui ne l’a pas été

Ce que Claroc a démontré : que des dizaines de milliers d’applis Grok s’ouvraient sans connexion ; que certaines, qu’elle a lues, contenaient les données décrites plus haut ; et que ses deux applis de test pouvaient être modifiées par des inconnus.

Ce qu’elle n’a pas testé : Claroc dit ne s’être connectée à aucune appli d’autrui, ne pas y avoir écrit et ne pas l’avoir testée. Elle n’a donc pas montré que les applis ouvertes qu’elle a trouvées peuvent être modifiées, seulement que des applis créées de la même façon peuvent l’être. Son chiffre de 650 à 800 applis avec des données privées est une estimation fondée sur les signalements d’un modèle d’IA, vérifiés sur un échantillon lu à la main.

Ce que dit SpaceXSI

Claroc a signalé ses constats à SpaceXSI les 8 et 9 novembre. Au moment de la publication, l’entreprise n’avait pas répondu au signalement, mais elle a répondu aux questions d’un journaliste. Selon Claroc, SpaceXSI a dit que les applis Grok restent privées jusqu’à ce que leur créateur les partage, que la publication demande plusieurs étapes, dont un avis juridique, et que les comptes d’employés sont réglés à « Only you » (vous seulement) par défaut. SpaceXSI a retiré les 24 applis d’employés après le rapport, mais pas celles des autres utilisateurs. Claroc a demandé à l’entreprise de faire de « Only you » le réglage par défaut pour tout le monde et d’ajouter un réglage qui limite une appli au domaine courriel d’une entreprise. Elle a commencé à écrire elle-même aux organisations touchées et n’a publié aucune adresse d’appli dans son rapport.

Ce que vous pouvez faire

Si vous avez créé et publié quelque chose avec Grok ou un autre outil de création d’applis par IA :

1. Vérifiez qui peut l’ouvrir. Dans Grok, réglez les applis qui contiennent quoi que ce soit de privé à « Invited users » (utilisateurs invités) ou « Only you ». Claroc a constaté qu’avec « Only you », son appli renvoyait une erreur aux inconnus.
2. Essayez-la de l’extérieur. Ouvrez l’appli dans une fenêtre privée, et connectez-vous avec un compte qui ne devrait pas y avoir accès. Si vous entrez, l’appli a besoin d’une vraie liste des personnes autorisées.
3. Ne mettez pas de mots de passe, de renseignements sur des patients ni de dossiers clients dans une appli IA vite faite, sauf si elle a une vraie connexion et de vrais contrôles d’accès.
4. Dépubliez les applis que vous n’utilisez plus. Claroc dit que la dépublication a mis une appli Grok hors ligne en quelques secondes.

Si vous travaillez en TI, renseignez-vous sur les outils de création d’applis par IA qu’utilisent vos collègues. Claroc nomme Grok, Lovable, Replit, v0, Bolt, Base44 et Google AI Studio, qui peuvent tous être utilisés sans que les TI les configurent.

Comment Frame peut aider

Ces applis ne sont pas une fuite accompagnée d’une liste d’adresses courriel touchées, donc il n’y a pas d’enregistrement de fuite à ajouter dans Frame. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame n’analyse pas les applis créées par IA.

À lire aussi

• Des milliers de bases de données d’applis lisibles par n’importe qui, selon UpGuard : le même problème une couche plus bas, dans les bases de données derrière des applis vite faites.
• L’application Android de Wyndham contenait un mot de passe qui ouvrait une base de données clients : un autre cas de mot de passe livré sur l’appareil de chaque utilisateur.

Sources

• Claroc Research, GhostShares 2: Grok Apps Exposed xAI’s Business Secrets and People’s Private Data (en anglais), 10 novembre 2026
• The Hacker News, Over 35,000 Grok-Built Apps Exposed Online, Some Leaking Confidential Data and Passwords (en anglais), 11 novembre 2026