L’un des avantages de l’IA générative est que, grâce à leurs compétences avancées en codage, les modèles avancés sont capables de créer de véritables applications personnalisées, et taillées sur mesure pour les besoins d’une entreprise ou d’un utilisateur. Néanmoins, la prochaine fois que vous créerez une app sur une IA, vous réfléchirez peut-être à deux fois avant de partager celle-ci via un lien. En effet, même si vous n’avez partagé ce lien qu’avec une personne, il est possible l’adresse soit connue d’autres personnes qui ne l’ont jamais reçue. Or, les apps générées avec l’IA contiennent parfois des informations confidentielles.
Comment est-ce possible ?
En octobre, l’entreprise Claroc a pu trouver des apps créées par l’agent Muse de Meta, qui pouvaient être ouvertes par n’importe quelle personne qui connaît le lien (un problème que Meta aurait déjà réglé). Et, cette semaine, l’entreprise a aussi pu identifier plus de 35 000 applications créées avec Grok que toute personne possédant le lien pouvait ouvrir.
Personne n’a envoyé les liens de ces apps à Claroc. Mais, concernant les apps créées avec Grok, l’entreprise explique : “chaque application publiée dispose de sa propre adresse, <nom>.grok.me. Lorsqu’un utilisateur ouvre une application, son ordinateur interroge un résolveur DNS (ndlr, l’annuaire d’internet) pour savoir où se trouve ce nom. Les services DNS passifs collectent ces requêtes auprès des résolveurs qu’ils exploitent ou dont ils achètent les données […]. Ainsi, dès la première utilisation d’un lien par les personnes auxquelles il était destiné, le nom est référencé dans un index commercial.”
En d’autres termes, à partir du moment où l’adresse est ouverte quelque part (par exemple, par le destinataire du lien), il est possible qu’elle finisse sur un index, que quelqu’un d’autre peut consulter. Et, en utilisant cette technique, Claroc a été en mesure d’ouvrir 24 applications internes de SpaceXSI qui contenaient des informations confidentielles, et des apps d’autres organisations, dont un hôpital et de grandes entreprises de la liste Fortune 500.
Les liens de partage ne sont pas totalement secrets
Le problème pourrait venir du fait qu’un utilisateur peut penser que le lien de son application ne sera connu que des destinataires. Pourtant, comme Claroc a pu le démontrer, ce n’est pas toujours le cas. “La plupart des applications ouvertes étaient des jeux, des pages d’accueil et des calculateurs. Environ une sur dix contenait des informations sensibles, des données internes à l’entreprise ou des données personnelles, et, selon nos estimations, environ 2 % contenaient des informations suffisamment graves pour être considérées comme hautement ou critiques”, explique Claroc.
D’après Claroc, SpaceXSI aurait répondu à un journaliste que les apps générées avec Grok sont privées, jusqu’à ce qu’elles soient publiées (en d’autres termes, ce n’est pas un bug). L’entreprise d’Elon Musk a également souligné le fait que lors de la publication, l’utilisateur passe par plusieurs étapes et peut choisir entre deux options de visibilité : la première ne rend l’app utilisable que par son créateur (même quand si le lien était public), et la seconde permet à celle-ci d’être ouverte par ceux qui ont le lien.
En tout cas, il semblerait que la majorité des utilisateurs choisissent la seconde option. En effet, sur les 43 601 adresses d’apps que Claroc a pu identifier, 35 578 ont pu être ouvertes.
📍 Pour ne manquer aucune actualité de Presse-citron, suivez-nous sur Google Actualités et WhatsApp.
