Grok : 35 578 applications s’ouvraient sans compte, dont 24 chez SpaceXSI

Claroc a écrit le 10 novembre 2026 que 35 578 applications Grok, sur 37 571 encore en ligne, s’ouvraient sans aucun compte, et que 24 d’entre elles avaient été construites par des équipes de SpaceXSI et du réseau social X.

Grok Build est le mode dans lequel une personne décrit une application dans la conversation, et Grok l’écrit. SpaceXSI est l’éditeur de Grok. Claroc le présente comme la société qui s’appelait auparavant xAI. Les applications publiées reçoivent chacune une adresse en grok.me. Asaf Aprozper, de Claroc Research, date le début du constat au 8 novembre 2026 : l’équipe a ouvert la première page de ces adresses depuis Internet, sans compte, comme dans une fenêtre de navigation privée.

Deux totaux, une même proportion

Le billet donne deux chiffres de départ, qu’il ne réconcilie pas. La méthode dit que des techniques usuelles de recensement de noms ont listé 43 601 noms sous grok.me. L’encadré de synthèse dit que 43 551 adresses ont été essayées. Sur ce second total, 37 571 applications répondaient encore. Parmi elles, 35 578 se sont ouvertes pour n’importe qui, soit 94,7 %. Les 1 993 autres, soit 5,3 %, ont renvoyé une erreur HTTP 401.

Claroc place le volume de pages à données privées entre 650 et 800 environ. Le reste était surtout des jeux, des pages ou des calculettes.

Vingt-quatre applications de SpaceXSI et de X

Parmi les pages ouvertes, Claroc en a attribué 24 à des équipes de SpaceXSI et de X. Le billet décrit un plan d’intégration marqué confidentiel, une carte de 594 comptes, des propositions publicitaires de X dont une à une agence fédérale américaine marquée confidentielle, et des rapports de campagnes. Une archive supplémentaire demandait un mot de passe : c’est la seule de ce lot qui ne s’ouvrait pas directement.

Claroc dit avoir signalé deux de ces applications le 8 novembre 2026, puis les 22 autres le 9 novembre. Le 10 novembre, SpaceXSI les avait retirées. La société n’avait pas répondu au rapport, et a répondu ce jour-là à un journaliste. Dan Goodin, dans Ars Technica à 21 h 12 UTC, écrit que ces 24 liens renvoyaient « app not found ».

Trente autres organisations, sans les nommer

Claroc a identifié 30 autres organisations, sans les nommer : 26 de plus de 1 000 salariés, six au Fortune 500, dix-huit aux États-Unis. Les exemples restent décrits par type, dont un annuaire, un dossier médical et des mots de passe dans un fichier chargé par le navigateur. Claroc écrit n’avoir utilisé aucun de ces mots de passe.

Le réglage proposé au moment de publier

Chaque application publiée a sa propre adresse en grok.me : la partie aléatoire est dans le nom d’hôte, qu’un index de résolutions DNS peut lister après une consultation. Claroc ne publie aucun de ces noms.

Claroc a construit deux applications de test, avec des données fictives. Rien ne devient public avant un clic sur Publish. Dans le compte payant utilisé, « Anyone with the link » était déjà sélectionné, à côté de « Invited users » et « Only you ». Sur ces seules applications, un visiteur non connecté a pu ajouter une ligne, et un compte Google jamais invité a pu modifier une fiche d’équipe.

SpaceXSI, selon Claroc, dit que rien n’est public avant plusieurs clics, et que les comptes d’employés sont sur Only you par défaut. Claroc accorde le point sur les clics. Dans le compte qu’il a testé, « Anyone with the link » était déjà coché, et les 24 applications d’équipes SpaceXSI et X étaient tout de même ouvertes.

AI app builders turned publishing into a few clicks, and the default answer to who can see it is everyone.

La phrase est d’Asaf Aprozper, dans le billet du 10 novembre 2026.

Le mois précédent, le même cabinet avait décrit des liens de partage de Meta Muse, que KLYNLABS a déjà relatés. Le billet du 10 novembre est un second volet, sur Grok, pas une reprise de cet article.

Sources

Billet Claroc, Asaf Aprozper, 10 novembre 2026, « GhostShares 2: Grok Apps Exposed xAI’s Business Secrets and People’s Private Data ».

Ars Technica, Dan Goodin, 10 novembre 2026, 21 h 12 UTC.