Le 11 novembre 2026, la société de sécurité Claroc a publié un rapport : sur 37 571 applications encore en ligne créées avec Grok qu'elle a examinées, 35 578 pouvaient être ouvertes sans se connecter — soit 94,7 %. Le problème vient du réglage par défaut au moment de la publication : lors du test de Claroc sur un compte payant, la boîte de dialogue de publication avait « Anyone with the link » présélectionné — toute personne connaissant le lien peut la consulter.
Comment ces applications ont été trouvées
Chaque application publiée reçoit son propre sous-domaine grok.me et, après sa première visite, elle entre dans des bases de données DNS passives commerciales, où elle peut être retrouvée par recherche de motif. Environ une application accessible sur dix contenait du contenu sensible, des données commerciales internes ou des informations personnelles, et environ 2 % étaient particulièrement graves ; on estime que 650 à 800 applications contenaient des données privées. Parmi les cas confirmés : un briefing de soins intensifs contenant les résultats d'analyse d'un patient, une liste de plus de 3 500 employés d'un groupe hospitalier, un planning de pompiers, et une application de pointage dont le code source contenait 18 comptes avec des mots de passe en clair. Au moins 30 organisations ont été touchées, dont 6 entreprises du Fortune 500.
Même les employés de l'entreprise n'ont pas été épargnés
24 des applications accessibles provenaient d'employés de SpaceXSI et de X eux-mêmes, dont un plan d'intégration pour un nouveau membre de l'équipe commerciale (avec des adresses de systèmes internes et 19 canaux de discussion), une carte des territoires de vente marquant 594 comptes stratégiques, et 8 propositions publicitaires (dont une ciblant une agence fédérale américaine, marquée confidentielle). Les propres tests de Claroc ont aussi révélé un problème de logique d'autorisation : la base de données d'une application de contacts n'avait aucune protection par connexion, si bien que des visiteurs anonymes pouvaient ajouter des enregistrements ; une autre application de liste de clients ajoutait d'abord chaque compte Google ou X connecté à l'équipe, puis vérifiait l'appartenance — des comptes extérieurs pouvaient donc lire, modifier et supprimer des enregistrements. Les tests d'écriture et de suppression n'ont été effectués que sur ses propres applications.
Où se situent les limites de cette affaire
Grok dispose bien du bon réglage : passer à « Only you » bloque l'accès extérieur, et les nouvelles applications ChatGPT sont elles aussi visibles uniquement par leur créateur par défaut. SpaceXSI a répondu que les applications sont privées avant leur partage, que la publication exige plusieurs étapes dont un avis juridique, et que les comptes d'employés sont par défaut sur « Only you ». La réplique de Claroc : la dernière étape présélectionne toujours le partage public, et les 24 applications d'employés en sont la preuve. SpaceXSI n'a retiré que ces 24 applications d'employés et n'a pas nettoyé les applications publiques des autres utilisateurs ; Claroc prévient désormais directement les personnes concernées. Un dernier point : Claroc vend elle-même des solutions de sécurité pour les applications créées par IA, ce rapport comporte donc un intérêt commercial. C'est le troisième incident de confidentialité lié à Grok : en août 2025, plus de 370 000 conversations partagées sont apparues dans la recherche Google ; en juillet 2026, Grok Build a été accusé de téléverser des fichiers d'utilisateurs sans le leur demander. Une autre actualité Grok du même jour concerne plusieurs recours collectifs — c'est une affaire différente, qui porte sur des contenus générés abusifs.
Quiconque a déjà créé une application avec Grok devrait vérifier ses paramètres de partage dès maintenant, repasser les applications publiques sur « Only you » et s'assurer que les bases de données sont protégées par une connexion. Ce qu'il faut surveiller ensuite, c'est si SpaceXSI modifie le réglage par défaut — jusque-là, chaque nouvelle application publiée est une entrée de plus que l'on peut trouver par recherche.
