<\/p>\n
L’agent de codage\u00a0Grok Build\u00a0de SpaceXAI transf\u00e8re ill\u00e9galement l’int\u00e9gralit\u00e9 des r\u00e9pertoires de code des utilisateurs vers un stockage cloud externe. Grok Build aspirait des fichiers sensibles et des secrets pourtant supprim\u00e9s, d\u00e9passant largement les pratiques de collecte de ses concurrents. En r\u00e9ponse \u00e0 la pol\u00e9mique, le PDG Elon Musk a promis la suppression totale des donn\u00e9es collect\u00e9es par erreur, tandis que l’entreprise a d\u00e9ploy\u00e9 une modification technique pour stopper ces transferts automatiques. Cet incident met en lumi\u00e8res les risques majeurs pour la propri\u00e9t\u00e9 intellectuelle et la s\u00e9curit\u00e9 informatique li\u00e9s \u00e0 l’usage de ces outils d’IA.<\/b><\/p>\n
Les pratiques controvers\u00e9es de SpaceXAI ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es par un chercheur en s\u00e9curit\u00e9, connu sous le pseudonyme Cereblab. Il a r\u00e9alis\u00e9 une analyse au niveau des paquets r\u00e9seau et a d\u00e9couvert que l’outil CLI de Grok Build empaquetait l\u2019int\u00e9gralit\u00e9 des d\u00e9p\u00f4ts de code des d\u00e9veloppeurs et les transf\u00e9rait vers un compartiment Google Cloud Storage, pour un volume environ 27 800 fois sup\u00e9rieur aux donn\u00e9es r\u00e9ellement n\u00e9cessaires \u00e0 la t\u00e2che de codage.<\/p>\n
Contrairement \u00e0 Claude Code ou Gemini, qui n’analysent que des fichiers individuels, Grok Build empaquetait et t\u00e9l\u00e9chargeait des historiques Git complets. Les donn\u00e9es \u00e9taient collect\u00e9es m\u00eame lorsque les d\u00e9veloppeurs demandaient explicitement \u00e0 l’outil de ne pas ouvrir certains fichiers de leur r\u00e9pertoire. Interrog\u00e9 sur le sujet, le chercheur ind\u00e9pendant en s\u00e9curit\u00e9 Dr Lukasz Olejnik a confirm\u00e9 que ce niveau de r\u00e9tention de donn\u00e9es \u00e9tait \u00ab excessive \u00bb.<\/p>\n
Cette analyse, publi\u00e9e le 12 juillet 2026, a suscit\u00e9 un toll\u00e9 et a incit\u00e9 Elon Musk \u00e0 promettre la suppression de toutes les donn\u00e9es utilisateur pr\u00e9c\u00e9demment t\u00e9l\u00e9charg\u00e9es par Grok Build. Aucun avis de s\u00e9curit\u00e9 officiel n\u2019a \u00e9t\u00e9 publi\u00e9. Le code de t\u00e9l\u00e9chargement reste pr\u00e9sent dans le binaire actuel.<\/p>\n
Les informations r\u00e9v\u00e9l\u00e9es par l’analyse r\u00e9alis\u00e9e par Cereblab<\/span><\/b><\/p>\n Cereblab a achemin\u00e9 la version 0.2.93 de Grok Build CLI via le proxy d\u2019interception open source mitmproxy sur macOS et a publi\u00e9 l\u2019int\u00e9gralit\u00e9 des captures r\u00e9seau sous forme de Gist public sur GitHub. Cette m\u00e9thode ne n\u00e9cessite ni jailbreak ni acc\u00e8s privil\u00e9gi\u00e9. Dans le cas de Grok Build CLI, les experts expliquent que tout d\u00e9veloppeur peut reproduire l\u2019audit en acheminant l\u2019outil via le m\u00eame proxy et en examinant ce qui transite r\u00e9ellement sur le r\u00e9seau.<\/p>\n Cette facilit\u00e9 de v\u00e9rification explique en partie la rapidit\u00e9 avec laquelle ces d\u00e9couvertes se sont r\u00e9pandues. La principale d\u00e9couverte a \u00e9t\u00e9 un d\u00e9calage entre les canaux, difficile \u00e0 expliquer par une t\u00e9l\u00e9m\u00e9trie fortuite. Sur un d\u00e9p\u00f4t de test de 12 Go, le canal \u00ab model-turn \u00bb en temps r\u00e9el de Grok Build (POST\/v1\/responses, qui re\u00e7oit les fichiers que l\u2019agent de codage lit effectivement pour r\u00e9pondre aux questions de codage) a transf\u00e9r\u00e9 environ 192 Ko.<\/p>\n Un canal parall\u00e8le, acheminant vers POST\/v1\/storage, a transf\u00e9r\u00e9 5,10 Go r\u00e9partis en 73 blocs d\u2019environ 75 Mo chacun, pour lesquels chacun a renvoy\u00e9 un statut HTTP 200. Ce transfert vers le stockage s\u2019est effectu\u00e9 ind\u00e9pendamment des fichiers que l\u2019agent a ouverts ou qu\u2019il a re\u00e7u pour instruction de lire.<\/p>\n Les donn\u00e9es exfiltr\u00e9es comprenaient notamment un fichier .env, envoy\u00e9 sans caviardage ou chiffrement automatique des secrets. Son contenu se r\u00e9v\u00e8le pourtant sensible puisqu\u2019il est d\u00e9di\u00e9 aux variables d\u2019environnement telles que les cl\u00e9s d\u2019acc\u00e8s aux API mises en \u0153uvre dans le projet. Le chercheur affirme avoir reproduit l\u2019exp\u00e9rience avec d’autres outils comme Claude Code, Codex et Gemini, sans constater ce type de transfert de donn\u00e9es inappropri\u00e9.<\/p>\n La destination \u00e9tait un compartiment Google Cloud Storage nomm\u00e9 \u00ab grok-code-session-traces \u00bb. En somme, lorsque Grok Build lit ou traite un fichier, le contenu de ce dernier est transmis sans \u00eatre expurg\u00e9 vers cet espace de stockage distant utilis\u00e9 par SpaceXAI. Ni le compartiment ni le comportement de t\u00e9l\u00e9chargement n\u2019apparaissaient dans la documentation de configuration ou les guides de d\u00e9marrage rapide de Grok Build au moment de l\u2019analyse.<\/p>\n Les risques en mati\u00e8re de cybers\u00e9curit\u00e9 et l’ampleur des fuites<\/span><\/b><\/p>\n Cereblab a test\u00e9 ce comportement \u00e0 l’aide d’une commande anodine. Il a demand\u00e9 \u00e0 l’outil CLI de se contenter de r\u00e9pondre \u00ab OK \u00bb et lui a express\u00e9ment ordonn\u00e9 de ne pas ouvrir de fichiers. Grok Build a n\u00e9anmoins t\u00e9l\u00e9charg\u00e9 l’int\u00e9gralit\u00e9 du d\u00e9p\u00f4t, ainsi que l’historique Git complet contenant des informations confidentielles qui avaient \u00e9t\u00e9 supprim\u00e9es plusieurs mois auparavant, un r\u00e9sultat que le chercheur a pu reproduire \u00e0 l’aide d’un autre d\u00e9p\u00f4t.<\/p>\n D’autres utilisateurs de Grok Build ont signal\u00e9 des r\u00e9sultats similaires apr\u00e8s la publication du rapport de Cereblab. Dans un cas, l’int\u00e9gralit\u00e9 du r\u00e9pertoire utilisateur d’un d\u00e9veloppeur, contenant des cl\u00e9s SSH, des bases de donn\u00e9es de gestionnaires de mots de passe et bien plus encore, a mise en ligne.<\/p>\n Les d\u00e9veloppeurs ayant utilis\u00e9 Grok Build sur des bases de code contenant de v\u00e9ritables cl\u00e9s API, mots de passe de bases de donn\u00e9es ou tokens cloud doivent consid\u00e9rer ces identifiants comme potentiellement compromis et les renouveler imm\u00e9diatement, quels que soient les param\u00e8tres de confidentialit\u00e9 en vigueur \u00e0 ce moment-l\u00e0. \u00ab Cela pourrait \u00eatre \u00e9quivalent \u00e0 une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 majeure avec un score de gravit\u00e9 de 10 \u00bb, a \u00e9crit un critique.<\/p>\n Le chercheur ind\u00e9pendant Lukasz Olejnik a soulign\u00e9 que \u00ab ce comportement mettait gravement en p\u00e9ril des \u00e9l\u00e9ments critiques tels que le code source propri\u00e9taire, les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9, les donn\u00e9es personnelles, les identifiants et les d\u00e9tails de l’infrastructure des utilisateurs \u00bb. \u00ab C’est pourquoi je refuse d’utiliser des mod\u00e8les IA bas\u00e9s sur le cloud. Je pr\u00e9f\u00e8re \u00eatre \u00e0 la tra\u00eene sur le plan technologique que d’accepter cette chose \u00bb, a \u00e9crit un critique.<\/p>\n Elon Musk et SpaceXAI ont annonc\u00e9 des mesures correctives<\/span><\/b><\/p>\n Selon le rapport de Cereblab, la conservation des donn\u00e9es par SpaceXAI allait bien au-del\u00e0 de celle d\u2019autres outils CLI, comme Claude Code d’Anthropic, Gemini de Google et Codex d’OpenAI, qui ouvrent des fichiers individuels plut\u00f4t que des d\u00e9p\u00f4ts entiers avant de les t\u00e9l\u00e9verser avec leur historique Git. Ces d\u00e9couvertes ont suscit\u00e9 suffisamment d’attention pour que les dirigeants de SpaceXAI s’expriment publiquement \u00e0 ce sujet et corrigent le probl\u00e8me.<\/p>\n L’entreprise a rapidement d\u00e9ploy\u00e9 un correctif. Un communiqu\u00e9 publi\u00e9 via la plateforme X (ex-Twitter) indique que Grok Build respecte les clients ayant activ\u00e9 la politique de \u00ab non-conservation des donn\u00e9es \u00bb (zero data retention – ZDR) et que, pour ceux qui ne l\u2019avaient pas activ\u00e9e, tels que les clients non professionnels, l\u2019ex\u00e9cution d\u2019une simple commande permettait de supprimer toutes les donn\u00e9es pr\u00e9c\u00e9demment collect\u00e9es sur un utilisateur donn\u00e9.<\/p>\n \u00ab Si la fonction ZDR est d\u00e9sactiv\u00e9e, la commande \/privacy est disponible dans l’interface en ligne de commande (CLI) pour d\u00e9sactiver la conservation des donn\u00e9es, ce qui entra\u00eene \u00e9galement la suppression des donn\u00e9es pr\u00e9c\u00e9demment synchronis\u00e9es. Ex\u00e9cutez la commande \/privacy pour consulter ou modifier vos param\u00e8tres \u00e0 tout moment \u00bb, a d\u00e9clar\u00e9 SpaceXAI. Malgr\u00e9 la r\u00e9ponse de SpaceXAI, certains d\u00e9veloppeurs affirment…<\/p>\n via developpez<\/p>\n","protected":false},"excerpt":{"rendered":" L’agent de codage\u00a0Grok Build\u00a0de SpaceXAI transf\u00e8re ill\u00e9galement l’int\u00e9gralit\u00e9 des r\u00e9pertoires de code des utilisateurs vers un stockage cloud externe. Grok Build aspirait des fichiers sensibles et des secrets pourtant supprim\u00e9s, […]<\/p>\n","protected":false},"author":1,"featured_media":7744,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21,192],"tags":[],"class_list":["post-7743","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-actualite","category-ia"],"yoast_head":"\n<\/div>\n
<\/div>\n
<\/div>\n