Présentation de Grok Build et du problème
Grok Build est l'agent de codage « vibe » proposé par SpaceXSI, la société issue de la fusion entre SpaceX et xAI. La plateforme permet aux développeurs de partager leurs applications via des URL générées aléatoirement, supposées être inaccessibles sans connaître le lien exact. Une enquête menée par le cabinet de sécurité Claroc a démontré que cette hypothèse est erronée : des milliers de projets actifs sont accessibles en parcourant les URL, révélant ainsi des informations internes et privées.
Mécanisme d’énumération des URLs
Les URL de partage sont créées en combinant un identifiant alphanumérique de longueur variable, mais aucune contrainte d’authentification n’est appliquée au moment de la requête. Claroc a exploité cette absence de contrôle en scriptant des requêtes séquentielles, ce qui a permis d’énumérer des milliers de projets vivants. Dans la plupart des cas, l’accès ouvre directement l’application et expose l’ensemble des données stockées, y compris les bases de données, les fichiers de configuration et les secrets d’API.
Cette faille découle d’une décision de conception visant à « randomiser » les liens pour masquer leur existence, sans toutefois prévoir de mécanisme de validation côté serveur. L’absence de limitation de débit ou de vérification de session rend l’attaque triviale, même avec des ressources modestes.
Conséquences de la fuite et réponses de SpaceXSI
Claroc a répertorié des documents variés : plans d’affaires internes, propositions publicitaires, résultats d’examens médicaux, listes de contrôle de cuisine d’une compagnie de croisière de célébrités, ainsi que noms et numéros d’identification d’employés. Parmi les 24 applications appartenant à SpaceXSI, on a trouvé un plan d’intégration confidentiel, une carte de territoire commercial couvrant 594 comptes, des adresses internes de systèmes de vente et des propositions publicitaires. La divulgation de ces éléments représente un risque de perte concurrentielle et de non‑conformité aux réglementations sur la protection des données personnelles.
Après notification le dimanche, SpaceXSI n’a pas répondu immédiatement. Claroc a alors publié un message sur X, mentionnant Elon Musk et le responsable produit Matt Palmer. Au moment de la publication, toutes les 24 applications internes renvoyaient une erreur « app not found », indiquant que SpaceXSI avait retiré les liens quelques heures après l’intervention du média.
Recommandations de sécurisation
Pour corriger le problème, il est impératif d’ajouter une couche d’authentification obligatoire avant de délivrer le contenu d’une URL partagée. L’usage de jetons d’accès à courte durée de vie, couplé à une validation côté serveur, empêcherait l’accès anonyme. En complément, la mise en place de limites de taux de requêtes et d’un système de détection d’anomalies permettrait de bloquer les tentatives d’énumération automatisée.
Enfin, un audit complet des projets existants doit être réalisé afin de révoquer les liens exposés et de chiffrer les données sensibles stockées dans les applications. Ces mesures réduiront le vecteur d’exposition et restaureront la confiance des utilisateurs et des partenaires de SpaceXSI.
