Alerte développeur : Grok Build a téléchargé tout votre répertoire personnel vers xAI, avec exposition totale des clés SSH et du coffre de mots de passe

Le 13 juillet, le développeur A Green Being a publié sur X une capture d’écran des journaux unified.json, accusant Grok Build, l’outil de développement de xAI, la société d’Elon Musk, d’avoir empaqueté l’ensemble de son répertoire utilisateur et de l’avoir téléversé vers les serveurs de xAI ; le contenu divulgué comprend sa clé SSH personnelle, la base de données de son gestionnaire de mots de passe, ses fichiers personnels, ainsi que des photos et des vidéos — « tout a été divulgué ».

Les preuves de la capture d’écran des journaux d’A Green Being

(Source : A Green Being)

D’après la capture d’écran unifiée des journaux unified.json partagée par A Green Being sur X, le système a bien déclenché un grand nombre de requêtes repo_state.upload.start, et le chemin de téléversement pointe directement vers le répertoire personnel de l’utilisateur (/home/usuario) ; cela signifie que Grok Build, sans filtrage ni exclusion explicite des fichiers, a transmis l’intégralité des documents locaux ultra sensibles (clés SSH, base de données du gestionnaire de mots de passe, photos, vidéos) à l’endpoint cloud de xAI.

A Green Being indique qu’il est à l’origine de cette catastrophe de confidentialité parce qu’il a, par inadvertance, exécuté l’outil Grok Build dans son répertoire personnel (Home Directory). CyberSatoshi a répondu : « Tu es encore plus mal loti que moi : tu as exécuté Grok directement dans ton répertoire personnel. »

Recommandations en cybersécurité : éviter absolument d’exécuter depuis le répertoire personnel, et utiliser un sandbox avec des commandes de journalisation

D’après les recommandations des spécialistes en cybersécurité, pour les développeurs qui ont déjà utilisé ou envisagent d’utiliser des outils d’aide au développement similaires à Grok Build, les mesures de protection suivantes doivent être appliquées :

· Éviter absolument d’exécuter ce type d’outil dans un répertoire personnel ou dans le répertoire racine

· Utiliser un environnement isolé : exécuter dans un environnement virtuel distinct (sandbox), un conteneur Docker, ou en créant un compte utilisateur dédié et limité

· Surveiller activement les journaux : via des commandes de terminal (cat ~/.grok/logs/unified.json | grep repo_state.upload) pour vérifier s’il existe des comportements anormaux de téléversement des données

· Vérifier immédiatement les journaux historiques : si vous avez déjà utilisé Grok Build, consultez immédiatement les fichiers de journaux Grok sur votre machine afin de confirmer s’il y a eu une fuite de données

Questions fréquentes

Pourquoi Grok Build téléverse-t-il tout le répertoire personnel, et pas seulement le code du projet ?

D’après les informations rapportées, lors d’opérations de téléversement en arrière-plan, Grok Build ne dispose pas d’un mécanisme approprié d’exclusion des fichiers (par exemple, ignorer automatiquement .gitignore ou les fichiers cachés du système) ; lorsque l’utilisateur exécute l’outil dans le répertoire personnel, la conception sous-jacente considère le répertoire personnel comme l’intégralité du « contexte », et téléverse tout, plutôt que de se limiter aux fichiers de code. Il s’agit d’une double erreur, due à un défaut de conception de l’outil et à un usage inapproprié de l’emplacement par l’utilisateur.

Quels risques précis l’avertissement antérieur de CyberSatoshi indiquait-il ?

D’après les informations rapportées, dans son avertissement antérieur, CyberSatoshi (@XBToshi) expliquait que Grok Build, en arrière-plan et sans bruit, téléverse l’intégralité du dépôt (repository), l’historique Git, ainsi que les fichiers cachés .env contenant des informations confidentielles comme des clés API, vers la plateforme cloud Google (GCP), et que cela est très probablement utilisé pour un entraînement ultérieur de modèles ; à l’époque, il avait déjà exhorté les développeurs à vérifier immédiatement les fichiers de journaux Grok sur leur machine.

Comment vérifier immédiatement si mon ordinateur a déjà eu des données téléversées par Grok Build ?

D’après les informations rapportées, il est possible de consulter les journaux via les commandes de terminal suivantes : cat ~/.grok/logs/unified.json | grep repo_state.upload ; si le journal affiche un grand nombre d’entrées repo_state.upload.start, et que le chemin de téléversement pointe vers le répertoire personnel ou le répertoire racine, cela indique que les données ont été envoyées vers le cloud ; il est recommandé d’arrêter immédiatement l’utilisation de Grok Build hors d’un environnement isolé, et d’évaluer si des informations sensibles concernées (clés SSH, clés API) doivent être remplacées en urgence.