Le 10 novembre 2026, Claroc a rapporté que 35 578 des 37 571 applications Grok encore en ligne lors de son test s’ouvraient sans connexion. Son enquête décrit aussi des informations internes et personnelles dans certaines applications. L’accès public ne signifiait pas que chacune contenait des données sensibles. Le rapport de Claroc fournit le détail des mesures et des tests.
Ce que Claroc a mesuré
Claroc a recensé 43 601 noms sous grok.me et essayé 43 551 adresses d’application. Parmi celles-ci, 37 571 étaient encore en ligne au moment du test ; 35 578, soit 94,7 %, s’ouvraient sans connexion. Ces chiffres correspondent à différentes étapes du relevé, et le pourcentage porte sur les applications encore en ligne.
Claroc estime qu’environ une application ouverte sur dix contenait des données sensibles, des informations professionnelles internes ou des données personnelles. La société a évalué à environ 2 % la part contenant des informations qu’elle jugeait de gravité élevée ou critique. Elle a notamment décrit des documents internes liés à SpaceXSI et à X, ainsi que des exemples concernant d’autres organisations. Dans le script d’une feuille de temps appartenant à un prestataire, Claroc a relevé 18 comptes d’employés dont les mots de passe étaient stockés en clair.
Pourquoi un nom d’hôte peut être repéré
Claroc explique que chaque application publiée pouvait avoir son propre nom d’hôte sous grok.me. Quand un appareil cherche à joindre ce nom, il effectue une requête DNS. Des services de DNS passif collectent et indexent des noms observés dans ces requêtes ; ils peuvent donc rendre des noms d’hôte consultables, même si ceux-ci sont difficiles à deviner.
| Structure du lien | Ce que le DNS peut voir | Autre exposition décrite par Claroc |
| Nom d’hôte propre à l’application | Le nom d’hôte demandé peut être collecté et indexé. | L’adresse peut être repérable ; les paramètres d’accès déterminent qui peut ouvrir l’application. |
| Identifiant imprévisible dans le chemin de l’URL | Le DNS ne voit pas le chemin. | Les moteurs de recherche et les outils d’analyse de liens peuvent néanmoins exposer l’adresse. |
Une adresse difficile à deviner peut réduire la visibilité d’une application, mais ne remplace pas un contrôle d’accès explicite.
Ce que les tests contrôlés ont montré
Pour vérifier les possibilités d’écriture et les contrôles d’accès, Claroc a créé deux applications avec des données inventées. Dans l’une, un visiteur sans connexion pouvait ajouter un contact. Dans l’autre, un compte Google qui n’avait pas été invité pouvait consulter, modifier et supprimer des fiches clients.
Ces opérations ont eu lieu dans les deux applications de Claroc. La société indique ne pas s’être connectée aux applications d’autres personnes, ne pas y avoir envoyé de formulaires et ne pas avoir modifié leurs données. Les tests décrivent donc les failles observées dans ces deux exemples, et non des modifications effectuées sur les applications repérées chez des tiers.
Paramètres d’accès et changements proposés
Dans le compte payant utilisé pour ses essais, Claroc a vu l’option « Toute personne disposant du lien » présélectionnée. Son rapport indique séparément que SpaceXSI lui a déclaré que les comptes de ses employés étaient réglés par défaut sur « Vous uniquement ».
Claroc a indiqué que SpaceXSI avait retiré ses 24 applications créées par des employés après son signalement. Dans le rapport publié le 10 novembre, elle précisait que les applications d’autres utilisateurs qu’elle avait repérées étaient encore en ligne à cette date.
La société a proposé de placer les applications partagées sous un hôte commun avec des chemins difficiles à deviner, de permettre les restrictions d’accès au domaine de messagerie d’une organisation, de choisir « Vous uniquement » par défaut et d’afficher les droits d’accès avant publication. Elle a aussi proposé un avertissement lorsqu’une application dotée d’une base de données n’exige pas de connexion.
