Les plateformes permettant de créer des applications à partir d’instructions en langage naturel soulèvent de nouvelles interrogations en matière de sécurité. En simplifiant considérablement le développement et la publication de logiciels, elles peuvent aussi faciliter la mise en ligne de services insuffisamment protégés.
C’est le problème mis en évidence par Claroc dans son étude publiée le 10 novembre 2026. Grok Build permet aux utilisateurs de produire des applications web en décrivant leurs besoins à l’assistant Grok, sans nécessairement écrire eux-mêmes le code source, puis de les publier directement depuis la conversation. Cette fonction est ouverte à tous les abonnements Grok depuis le 19 août.
Selon les résultats présentés par les chercheurs et relayés notamment par TechRadar, un grand nombre de ces applications étaient accessibles depuis Internet sans contrôle d’identité. Certaines contenaient des informations sensibles appartenant à des entreprises, à des salariés ou à des particuliers.
Une configuration de partage en question
Les chercheurs ont identifié 43 601 noms d’applications associés au domaine grok.me, utilisé pour leur publication. Leur recherche s’appuyait notamment sur des services de DNS passif, capables de recenser les noms de domaines observés dans les échanges réseau.
Les adresses attribuées aux applications comportent généralement quatre mots aléatoires. Ce mécanisme rend leur découverte moins intuitive, mais ne constitue pas une protection contre l’énumération automatisée. Une adresse difficile à deviner ne remplace pas un contrôle d’accès.
Parmi les 37 571 applications actives analysées, 35 578, soit 94,7 %, pouvaient être ouvertes sans authentification, selon Claroc. Cette proportion concerne les applications actives examinées, et non l’ensemble des adresses initialement recensées.
Les chercheurs mettent en cause les réglages de partage proposés lors de la publication. SpaceXSI affirme de son côté que les applications restent privées tant que leur créateur ne les partage pas. Au moment de la publication, l’utilisateur peut choisir entre un accès pour toute personne disposant du lien, pour des utilisateurs invités ou pour lui seul.
Des données médicales et des identifiants exposés
Toutes les applications accessibles ne contenaient pas des données confidentielles. Claroc indique que la plupart étaient de simples jeux, calculateurs ou pages de présentation. Les chercheurs estiment qu’entre 650 et 800 applications contenaient des données privées.
Selon Claroc, les exemples relevés comprennent un annuaire hospitalier contenant plus de 3 500 noms et des informations relatives à des patients, ainsi qu’une base de recrutement d’une entreprise de transport comprenant plus de 1 000 personnes. Les chercheurs indiquent également avoir découvert des mots de passe stockés en clair, dont certains associés à des comptes administrateurs. Les applications ouvertes contenaient des données internes d’au moins 30 organisations, dans des secteurs allant de la construction à l’énergie, en passant par la santé et la défense.
Ces constats illustrent la diversité des risques associés à la publication d’applications mal configurées : exposition de données personnelles, divulgation d’informations commerciales et compromission potentielle de comptes.
Des documents internes de SpaceXSI concernés
L’analyse de Claroc ne se limite pas aux applications de clients externes. Les chercheurs affirment avoir découvert 24 applications ouvertes créées par des collaborateurs de SpaceXSI et de X.
Les informations accessibles comprenaient notamment des documents d’intégration de collaborateurs, des éléments commerciaux, des propositions publicitaires et des données relatives à plusieurs centaines de comptes stratégiques.
Ces 24 applications internes ont depuis été retirées. Selon les chercheurs, les applications des autres utilisateurs restaient en revanche accessibles, chaque organisation devant évaluer et corriger elle-même son exposition.
Les chercheurs ont aussi créé deux applications de test pour examiner les permissions. La première permettait à un visiteur non authentifié de modifier une base de contacts partagée. La seconde donnait accès à toute personne connectée avec un compte Google, même extérieure à l’équipe.
Cette affaire illustre les risques associés au développement d’applications par des agents d’intelligence artificielle, particulièrement lorsque des collaborateurs peuvent publier directement des outils sans validation préalable.
Pour les RSSI, plusieurs contrôles apparaissent essentiels : inventaire des applications créées, authentification systématique, gestion des autorisations, vérification des données manipulées et analyse de sécurité avant mise en production.
Les entreprises doivent également sensibiliser les utilisateurs à la différence entre une adresse non diffusée publiquement et une application réellement protégée. Une URL complexe ne garantit ni la confidentialité des données ni la sécurité des fonctions accessibles.
Grok Build rappelle ainsi que l’automatisation du développement ne supprime pas les exigences fondamentales de cybersécurité. Elle peut même accroître leur importance lorsque la création et la publication de logiciels deviennent accessibles à des utilisateurs peu familiarisés avec les principes de sécurisation des applications.
Soyez le premier à commenter