L'API privée de xAI a été exposée par un employé du gouvernement ayant un passé controversé. Les répercussions pourraient ne faire que commencer.
Jakub Porzycki/NurPhoto via Getty Images
Quelques mois après son retour au service gouvernemental suite à une démission controversée, Marko Elez, membre du personnel du Département de l’Efficacité Gouvernementale (DOGE), fait à nouveau la une - cette fois pour avoir exposé une clé API sensible liée à l’entreprise d’intelligence artificielle de Elon Musk, xAI.
Dimanche, Elez a publié un référentiel GitHub contenant "agent.py", un script incluant par inadvertance une clé privée permettant d'accéder à au moins 52 modèles de langage larges (LLM) de xAI. Repéré par Krebs sur la Sécurité, les modèles exposés, qui incluent le nouveau "grok-4-0709", forment l'épine dorsale de Grok, le chatbot IA intégré à la plateforme X $TWTR de Musk. La clé a été signalée par GitGuardian, une entreprise qui surveille les référentiels publics pour les fuites de crédentiels.
Malgré la suppression rapide du référentiel, la clé API reste active, selon le consultant en sécurité Philippe Caturegli, qui a alerté Elez le premier au sujet de l'exposition. Cela signifie que toute personne ayant accédé au référentiel pendant sa mise en ligne pourrait encore utiliser la clé pour interagir directement avec les modèles de xAI, soulevant d'importantes préoccupations concernant la sécurité des données des entreprises et des gouvernements.
C'est la deuxième fuite impliquant un employé de DOGE ces derniers mois. En mai, un autre membre de DOGE aurait exposé une clé xAI privée offrant l'accès à des LLM formés sur des données internes de Tesla $TSLA, SpaceX et X. Ces manquements répétés pointent vers des problèmes plus profonds de sécurité opérationnelle et soulignent les lignes floues entre les entreprises de Musk et les agences gouvernementales qui s'appuient de plus en plus sur son infrastructure.
Elez, âgé de 25 ans et avec un passé de conduite discutable, avait précédemment démissionné de DOGE après avoir été lié à des publications sur les réseaux sociaux à caractère raciste et eugéniste. Pourtant, il est retourné à l'agence en quelques semaines, aidé par le lobbying du vice-président J.D. Vance.
Depuis son retour, Elez a occupé des postes dans plusieurs agences de haut niveau, y compris l'Administration de la Sécurité Sociale, le Département du Travail, le Département de la Sécurité Intérieure et le Département de Justice. Il a eu accès à des bases de données sensibles relatives aux systèmes d'immigration, aux dossiers financiers et aux opérations de sécurité nationale.
La dernière fuite survient à un moment particulièrement précaire : il y a quelques jours à peine, le ministère de la Défense a attribué un contrat d'une valeur pouvant atteindre 200 millions de dollars pour Grok, malgré le fait que le chatbot ait récemment généré des réponses antisémites et fait référence à Adolf Hitler. Alors que la confiance dans l'IA s'effondre déjà, l'exposition de clés privées qui déverrouillent des infrastructures critiques augmente les enjeux tant pour la responsabilité des entreprises que pour la surveillance fédérale.
La capacité d'Elez à circuler librement entre les départements gouvernementaux — et maintenant à être lié à des manquements répétés à la sécurité impliquant les outils d'IA de Musk — souligne l'entrelacement croissant entre la Silicon Valley et Washington. Alors que le rôle de DOGE s'étend et que les outils de xAI soutiennent de plus en plus les systèmes fédéraux, les questions sur le contrôle, l'hygiène en matière de cybersécurité et le conflit d'intérêts sont susceptibles de s'amplifier.
Jusqu'à présent, xAI n'a pas révoqué la clé exposée, et ni DOGE ni Elez n'ont publié de réponse publique. Mais le problème majeur n'est peut-être pas cette fuite unique — c'est le système qui a permis que cela se reproduise.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
