Grok Build envoyait des dépôts vers le cloud sans le consentement des développeurs

L’assistant dédié au code informatique de SpaceXAI, Grok Build, envoyait des projets entiers vers des serveurs distants, sans consentement préalable des développeurs concernés. L’entreprise et son patron Elon Musk ont reconnu le problème, assurant que les éléments distants seraient supprimés. Le co…

Résumé

Grok Build espionne les projets

Le 10 juillet 2024, un chercheur en sécurité nommé Cereblab a découvert que Grok Build, un assistant en ligne de commande (CLI) développé par SpaceXAI (filiale d’Elon Musk dédiée à l’intelligence artificielle), envoyait automatiquement les projets de code des développeurs vers des serveurs distants sans leur consentement.

Pour analyser ce comportement, il a installé un proxy (un outil qui intercepte les échanges réseau) sur sa machine.

Sur un projet de 12 Go, 5,1 Go de données non utilisées lors de la session ont été transférés vers un bucket (un espace de stockage) hébergé sur Google Cloud.

Parmi ces données figuraient des fichiers sensibles comme un .env (fichier contenant des variables d’environnement, dont des clés d’accès aux API).

Le chercheur a reproduit l’expérience en demandant explicitement à Grok Build de ne lire aucun fichier, mais les données ont tout de même été envoyées.

Aucun transfert similaire n’a été observé avec d’autres assistants comme Claude Code, Codex (OpenAI) ou Gemini.