# Grok : 35 578 applications s’ouvraient sans compte, dont 24 chez SpaceXSI - Source : KLYNLABS (https://klynlabs.eu) - URL : https://klynlabs.eu/articles/grok-build-35578-applications-ouvertes-sans-compte - Auteur : Kelvyn - Publié le : 11 novembre 2026 (2026-11-11T00:10:52.916Z) - Rubrique : Cybersécurité - Sujets : Grok, Claroc, Grok Build, SpaceXSI - Langue : français Claroc a écrit le 10 novembre 2026 que 35 578 applications Grok, sur 37 571 encore en ligne, s’ouvraient sans aucun compte, et que 24 d’entre elles avaient été construites par des équipes de SpaceXSI et du réseau social X. ## À retenir - Le billet de Claroc du 10 novembre 2026, signé Asaf Aprozper, porte sur les applications publiées avec le mode Build de Grok, l’assistant de SpaceXSI. - Claroc a recensé 43 601 noms sous grok.me et dit avoir testé 43 551 adresses. Parmi 37 571 applications encore en ligne, 35 578, soit 94,7 %, s’ouvraient sans compte. - 1 993 applications, soit 5,3 %, ont répondu par une erreur HTTP 401, le comportement attendu des réglages Only you et Invited users. - Vingt-quatre applications d’équipes SpaceXSI et X ont été retirées après le signalement. Claroc écrit que les applications des autres organisations étaient encore ouvertes au moment de la publication. - Dans le compte payant utilisé par Claroc, le bouton de publication proposait déjà « Anyone with the link ». Rien n’est public avant un clic sur Publish, ce que Claroc et SpaceXSI disent tous les deux. - Le réglage à vérifier sur une application qui contient des données internes est Invited users ou Only you. Retirer la publication coupe l’adresse. Grok Build est le mode dans lequel une personne décrit une application dans la conversation, et Grok l’écrit. SpaceXSI est l’éditeur de Grok. Claroc le présente comme la société qui s’appelait auparavant xAI. Les applications publiées reçoivent chacune une adresse en grok.me. Asaf Aprozper, de Claroc Research, date le début du constat au 8 novembre 2026 : l’équipe a ouvert la première page de ces adresses depuis Internet, sans compte, comme dans une fenêtre de navigation privée. ## Deux totaux, une même proportion Le billet donne deux chiffres de départ, qu’il ne réconcilie pas. La méthode dit que des techniques usuelles de recensement de noms ont listé 43 601 noms sous grok.me. L’encadré de synthèse dit que 43 551 adresses ont été essayées. Sur ce second total, 37 571 applications répondaient encore. Parmi elles, 35 578 se sont ouvertes pour n’importe qui, soit 94,7 %. Les 1 993 autres, soit 5,3 %, ont renvoyé une erreur HTTP 401. Claroc place le volume de pages à données privées entre 650 et 800 environ. Le reste était surtout des jeux, des pages ou des calculettes. ## Vingt-quatre applications de SpaceXSI et de X Parmi les pages ouvertes, Claroc en a attribué 24 à des équipes de SpaceXSI et de X. Le billet décrit un plan d’intégration marqué confidentiel, une carte de 594 comptes, des propositions publicitaires de X dont une à une agence fédérale américaine marquée confidentielle, et des rapports de campagnes. Une archive supplémentaire demandait un mot de passe : c’est la seule de ce lot qui ne s’ouvrait pas directement. Claroc dit avoir signalé deux de ces applications le 8 novembre 2026, puis les 22 autres le 9 novembre. Le 10 novembre, SpaceXSI les avait retirées. La société n’avait pas répondu au rapport, et a répondu ce jour-là à un journaliste. Dan Goodin, dans Ars Technica à 21 h 12 UTC, écrit que ces 24 liens renvoyaient « app not found ». ## Trente autres organisations, sans les nommer Claroc a identifié 30 autres organisations, sans les nommer : 26 de plus de 1 000 salariés, six au Fortune 500, dix-huit aux États-Unis. Les exemples restent décrits par type, dont un annuaire, un dossier médical et des mots de passe dans un fichier chargé par le navigateur. Claroc écrit n’avoir utilisé aucun de ces mots de passe. ## Le réglage proposé au moment de publier Chaque application publiée a sa propre adresse en grok.me : la partie aléatoire est dans le nom d’hôte, qu’un index de résolutions DNS peut lister après une consultation. Claroc ne publie aucun de ces noms. Claroc a construit deux applications de test, avec des données fictives. Rien ne devient public avant un clic sur Publish. Dans le compte payant utilisé, « Anyone with the link » était déjà sélectionné, à côté de « Invited users » et « Only you ». Sur ces seules applications, un visiteur non connecté a pu ajouter une ligne, et un compte Google jamais invité a pu modifier une fiche d’équipe. SpaceXSI, selon Claroc, dit que rien n’est public avant plusieurs clics, et que les comptes d’employés sont sur Only you par défaut. Claroc accorde le point sur les clics. Dans le compte qu’il a testé, « Anyone with the link » était déjà coché, et les 24 applications d’équipes SpaceXSI et X étaient tout de même ouvertes. > AI app builders turned publishing into a few clicks, and the default answer to who can see it is everyone. La phrase est d’Asaf Aprozper, dans le billet du 10 novembre 2026. > Sur une application Grok qui contient des données internes, le réglage à lire est Invited users ou Only you. Un visiteur extérieur doit obtenir une page d’erreur. Retirer la publication rend l’adresse inactive, écrit Claroc. Le mois précédent, le même cabinet avait décrit des liens de partage de Meta Muse, que [KLYNLABS a déjà relatés](https://klynlabs.eu/articles/meta-muse-liens-partage-ghostshares-conversations-exposees). Le billet du 10 novembre est un second volet, sur Grok, pas une reprise de cet article. ## Sources [Billet Claroc, Asaf Aprozper, 10 novembre 2026](https://blog.claroc.io/ghostshares-grok-build-apps/), « GhostShares 2: Grok Apps Exposed xAI’s Business Secrets and People’s Private Data ». [Ars Technica, Dan Goodin, 10 novembre 2026, 21 h 12 UTC](https://arstechnica.com/security/2026/11/grok-build-coding-agent-leaks-oodles-of-confidential-info-some-belonging-to-spacexsi/). --- Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/grok-build-35578-applications-ouvertes-sans-compte