Dossier doge-xai-api-key-leakFuite de modèle et de donnéesÉtats-Unis
Marko Elez, employé du DOGE, divulgue une clé d'API xAI donnant accès à 52 modèles Grok
Marko Elez, employé du DOGE ayant accès à des bases de données fédérales sensibles, a publié sur GitHub un script contenant une clé d'API xAI privée ; des chercheurs ont constaté qu'elle déverrouillait au moins 52 modèles xAI et qu'elle restait valide après le retrait du dépôt.
ÉlevéeAttaque contre l’IAStatut: RésoluDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 14 juil. 2025
- Lieu
- États-Unis
- Cible
- LLM privés de xAI, dont grok-4-0709
- Gravité
- Élevée
- Déclenché par
- Marko Elez (DOGE) ; découverte par GitGuardian et Philippe Caturegli
- Type d’acteur
- Accident / mauvaise configuration
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Marko Elez, employé du DOGE ayant accès à des bases de données fédérales sensibles, a publié sur GitHub un script contenant une clé d'API xAI privée ; des chercheurs ont constaté qu'elle déverrouillait au moins 52 modèles xAI et qu'elle restait valide après le retrait du dépôt.
Impact: Accès à au moins 52 LLM de xAI, dont le tout nouveau Grok 4, sous les identifiants d'un développeur gouvernemental ; aucune preuve d'abus publiée
Qui l’a déclenché
Acteur: Marko Elez (DOGE) ; découverte par GitGuardian et Philippe Caturegli
Attribution: Commit accidentel d'Elez, confirmé par l'analyse de secrets de GitGuardian et par Philippe Caturegli (Seralys) ; deuxième fuite de clé xAI de ce type en trois mois
Mobile: Aucun ; exposition accidentelle d'un secret
Comment c’est arrivé
Vecteur d’attaque: Clé d'API xAI privée intégrée dans agent.py poussé vers un dépôt GitHub public
Cause racine: Défaillance d'hygiène des identifiants chez un utilisateur disposant d'un accès privilégié à des données gouvernementales ; aucune révocation automatique de clé après exposition
Chronologie
- Création du modèle exposé le plus récent, grok-4-0709
- Elez publie agent.py contenant la clé xAI privée sur GitHub
- Krebs révèle la fuite ; le dépôt est retiré mais la clé fonctionne toujours et n'est pas révoquée
Réponse
Dépôt supprimé après que Caturegli a contacté Elez ; ni Elez ni xAI n'ont commenté ; des chercheurs s'interrogent sur la façon dont le DOGE gère des données bien plus sensibles
Statut actuel: Résolu
Sources (nouvel onglet)
- KrebsOnSecurity krebsonsecurity.com
- TechRadar techradar.com
- Quartz qz.com
Citer ce dossier
Marko Elez, employé du DOGE, divulgue une clé d'API xAI donnant accès à 52 modèles Grok. AI Threat Watch, dossier doge-xai-api-key-leak, 14 juil. 2025. https://aithreat.io/fr/cases/doge-xai-api-key-leak/
Lien permanent: https://aithreat.io/fr/cases/doge-xai-api-key-leak/