Elon Musk vante Grok pour payer à votre place, poste sa commande LEGO… et expose son e-mail et 4 chiffres de sa carte
Elon Musk veut que vous confiiez votre carte bancaire à son IA. Pour prouver que c’est sans danger, il a posté une capture de sa propre commande. Sauf qu’il n’a rien flouté. Et ce que l’image laissait voir a déclenché une chasse aux canulars sur X, dont le point de bascule tient à un simple numéro.
Une démo censée rassurer, un post publié sans aucun contrôle
Le 11 octobre 2026, Elon Musk invite ses abonnés sur X à utiliser Grok, l’agent IA développé par xAI. Le principe : l’IA déniche les meilleures offres en ligne et passe commande à votre place.
Selon le milliardaire, il suffit de photographier sa carte bancaire, de la déposer dans le chat, et Grok trouve la meilleure offre. L’agent compare les prix, choisit le vendeur et finalise l’achat. Aucun humain n’intervient entre ces étapes.
Pour illustrer la simplicité du procédé, Musk joint une capture d’écran de sa commande de kits LEGO Star Wars « pour jeunes enfants ». Aucun floutage, aucun avertissement. Visiblement, aucune relecture avant de publier.
Le comble, c’est que cet agent est censé gérer des données sensibles. Or c’est son plus célèbre promoteur qui les a diffusées, auprès de millions d’abonnés. Un détail de l’image a particulièrement fait réagir, comme le montre ce que les fuites de données rendent possible quand une information circule sans filtre.
Alors, que montrait exactement cette capture ?
Numéro de commande, e-mail, 4 chiffres : tout était visible
Sur l’image figuraient un numéro de transaction, l’adresse e-mail personnelle de Musk et les quatre derniers chiffres de sa carte bancaire. Tout cela était lisible par n’importe quel internaute.
Quelques heures plus tard, un utilisateur nommé Enderman frappe le premier. Ses captures montrent qu’il a contacté le bot du service client de LEGO en lui indiquant le numéro de commande visible.
Il affirme avoir ainsi annulé la transaction du milliardaire. Son post récolte des millions de réactions. Musk répond en commentaire que rien n’a été annulé, pendant que les détournements se multiplient.
D’autres imitateurs suivent. L’un prétend avoir passé 400 commandes identiques via le même bot. Il affirme aussi avoir changé l’adresse de livraison pour Little St. James, l’île liée au réseau d’Epstein. Ces revendications restent des déclarations d’internautes, non vérifiées de façon indépendante.
La marque danoise, sollicitée par le magazine Wired, n’a fait aucun commentaire. Le post initial, lui, est resté en ligne. Et les failles ne s’arrêtent pas à une capture d’écran : une IA capable de pirater seule une entreprise montre ce que des agents autonomes peuvent faire avec les bonnes permissions.
Mais le vrai risque se situe ailleurs que dans ce couac.
Le vrai danger : aucune vérification entre la carte et le paiement
Dès l’entrée, un parallèle s’impose avec ces faux prélèvements qui piègent des milliers de Français : l’enjeu, c’est toujours l’accès à vos données de paiement.
Confier sa carte à Grok revient à donner un accès direct à ses finances. L’agent photographie, lit et utilise les données pour finaliser l’achat. Aucune vérification humaine n’intervient entre la lecture et la validation.
Résultat : le moindre site frauduleux suffit à compromettre les informations transmises. Les escrocs ciblent déjà les chatbots pour leur faire recommander des produits frauduleux. De fausses boutiques piègent les outils qui comparent les prix.
Certains créent même des vitrines imitant des enseignes connues, ou disparues, pour collecter les données de paiement. Plus l’agent dispose de permissions sur le compte, plus la surface d’attaque s’élargit.
Et ce risque ne concerne pas que Grok : il s’applique aussi aux agents de paiement concurrents. Reste la question qui fâche : qui paie quand ça tourne mal ?
Qui rembourse si l’IA se fait piéger ? Personne, pour l’instant
Ni Grok ni ChatGPT ne disposent d’une certification financière comparable à celle des applications bancaires. C’est un point que la démo de Musk a rendu très visible.
Aucun mécanisme de remboursement automatique ne couvre les achats passés par un agent IA. Les utilisateurs assument seuls la responsabilité en cas de fraude liée à ces outils.
Côté règles, c’est le vide : aucune régulation spécifique n’encadre les agents de paiement automatisés à la mi-octobre 2026. Les arnaques par voix synthétique montrent déjà que les escrocs s’adaptent vite, comme avec ces faux livreurs qui imitent la voix par IA.
À surveiller ensuite : LEGO a gardé le silence, et rien n’indique, à ce stade, que la commande de Musk ait été annulée, lui-même affirmant le contraire. Le post, toujours en ligne, continue de nourrir les moqueries.
Pour les utilisateurs, la leçon est simple. Une IA qui paie à votre place hérite de vos droits sur votre compte, sans les garde-fous d’une appli bancaire. Même les données partielles posent problème : un simple réglage mal choisi suffit parfois à exposer ce qu’on croyait privé.
La démo la plus gênante de Musk aura au moins un mérite : prouver qu’avant de confier sa carte à un robot, mieux vaut vérifier ce qu’il montre au monde entier.
Et si vous pensiez que seules les entreprises se font aspirer leurs données, ce que des pirates ont emporté chez Basic-Fit va vous faire réfléchir. Quant à ceux qui croient l’IA incapable d’aller plus loin, cette IA française qui lit vos pensées relance le débat sur ce qu’on lui confie.