Elon Musk promet de supprimer toutes les données suite à une fuite d'informations confidentielles des utilisateurs

La société xAI, fondée par Elon Musk, a annoncé des mesures d'urgence après un grave incident lié au téléchargement non autorisé de codes personnels et de données confidentielles des utilisateurs vers un serveur via l'outil Grok Build CLI. Le dirigeant de l'entreprise a annoncé que, pour des raisons de sécurité, toutes les données utilisateur précédemment téléchargées dans le système seraient définitivement supprimées. Cette décision a été prise après la découverte que l'outil d'AI envoyait secrètement l'historique complet des projets sur les serveurs de l'entreprise. Selon Ixbt.com rapporte que

Le problème a été identifié par un expert en cybersécurité sous le pseudonyme de Cereblab. En analysant le trafic réseau de la version 0.2.93 de Grok Build, il a prouvé que le programme envoyait non seulement les fichiers liés à la requête, mais aussi des dépôts Git entiers, avec leur historique de modifications, vers le stockage cloud de Google Cloud. Le chercheur a constaté que lors de l'envoi d'une requête simple sur un projet de 12 GB, le système a téléchargé 5,1 GB de données sur le serveur.

Clés secrètes et mots de passe SSH en danger

L'aspect le plus dangereux est que Grok Build CLI a transmis non seulement les codes, mais aussi les clés secrètes stockées dans les fichiers .env à l'intérieur des projets, sans aucun masquage. D'autres utilisateurs ont souligné que, dans certains cas, le programme a même transmis les clés SSH et la base de données du gestionnaire de mots de passe depuis le répertoire personnel de l'ordinateur de l'utilisateur. Cela constitue une menace directe pour la sécurité numérique des utilisateurs.

Selon ixbt.com, la désactivation de la fonction "Improve the model" (Améliorer le modèle) dans les paramètres de xAI n'a pas permis d'arrêter la transmission des données. Il s'est avéré que ce bouton servait uniquement à refuser l'utilisation des données pour l'entraînement du modèle, mais les données continuaient d'être envoyées sur les serveurs de l'entreprise. Pourtant, Grok Build était présenté comme un outil fonctionnant principalement en mode local.

Une fois la controverse devenue publique, xAI a résolu le problème secrètement côté serveur sans publier de nouvelle version. Lors d'une nouvelle vérification, le chercheur a découvert que le serveur envoyait désormais des commandes spéciales interdisant au client de télécharger des données. Malgré cela, l'entreprise n'a fourni aucune explication officielle sur l'incident et est restée silencieuse pendant longtemps sur le sort des données collectées.

La réaction d'Elon Musk et les mesures de sécurité

Elon Musk est intervenu personnellement dans la situation et a confirmé, par mesure de précaution, que toutes les données précédemment téléchargées seraient supprimées. Il a également invité les utilisateurs à continuer de partager volontairement des données pour configurer le service et corriger les erreurs. Selon Musk, cela est nécessaire pour améliorer la qualité du produit.

L'entreprise a déclaré qu'un mode Zero Data Retention (ZDR) est disponible pour les clients entreprises et que leurs données ne sont pas conservées. Pour les utilisateurs ordinaires, il est recommandé de supprimer les données via la commande /privacy. Cependant, les experts soulignent que le problème n'est pas lié aux paramètres de l'utilisateur, mais au fait que le programme collecte une quantité excessive de données sans justification.

Cet incident a montré une fois de plus l'importance de la prudence lors de l'utilisation d'outils d'AI. Les experts conseillent aux développeurs de surveiller en permanence l'activité réseau de leurs outils tiers avant de leur confier leurs codes et données confidentielles.