Ne faites pas ça chez vous : samedi 10 octobre au soir, Elon Musk conseille à ses 240 millions d'abonnés de photographier leur carte bancaire et de l'envoyer à Grok pour qu'il « cherche la meilleure offre et commande ». Le lendemain, sa démo — un panier Lego Star Wars à 241,34 $ — s'affiche avec numéro de commande, adresses et e-mail en clair. Et des internautes s'amusent à annuler sa commande.
La démonstration qui dérape
- Samedi 10/10 : « Pour acheter, photographiez votre carte, déposez-la dans le chat et Grok cherchera la meilleure offre puis commandera. » Problème : la doc SpaceXAI interdisait noir sur blanc toute donnée personnelle à Grok.
- Dimanche 11/10 : démo Lego — 5 boîtes à 241,34 $, capture avec n° de commande à 10 chiffres, adresses de livraison/facturation, 4 derniers chiffres Amex, e-mail.
- Dans la foulée : un youtubeur fait « annuler » la commande via le service client Lego ; un autre revendique 400 exemplaires livrés ailleurs. Musk dément, parle d'une boîte courrier de son équipe sécurité.
- Le lendemain : la politique de confidentialité Grok est réécrite — « vous êtes responsable de tout, y compris la transmission d'infos de paiement ».
« Musk a révélé à ses 240 millions d'abonnés non seulement le numéro de commande, mais aussi les adresses, les 4 derniers chiffres de carte et l'e-mail. » — Jeremy White, WIRED, 12 octobre 2026
Le vrai problème : la méthode, pas le sketch
Le paradoxe, c'est que la fonction d'achat officielle de Grok (via Stripe Link) fait exactement l'inverse : validation du montant par l'utilisateur, carte virtuelle à usage unique, le bot ne voit jamais la vraie carte. La « méthode photo » de Musk court-circuite toutes ces protections — celles-là mêmes que Visa, Mastercard et Amex s'échinent à standardiser cette semaine (lire notre article sur les agents acheteurs). Avec +25 % de transactions malveillantes initiées par bots au 2e semestre 2025 selon Visa, la leçon vaut pour tout le monde : jamais de photo de carte à une IA.