« Les garde-fous de GitHub ne fonctionnaient pas comme prévu » : comment un simple ticket a suffi à faire fuiter des dépôts privés

Des chercheurs de l'entreprise Noma Security ont découvert une faille majeure dans GitHub, nommée GitLost, permettant d'accéder à des données de dépôts privés sans authentification ni compétences techniques avancées.

Cette vulnérabilité a été rendue publique le 6 juillet 2026.

Contrairement à une attaque classique nécessitant des identifiants ou une intrusion, cette faille exploite un mécanisme d'injection de prompt indirect, où des instructions cachées sont insérées dans un ticket public.

L'agent IA de GitHub, chargé de répondre automatiquement aux demandes, interprète ces instructions comme des ordres légitimes et exécute des actions non autorisées, comme lire ou exporter des données sensibles.

La faille GitLost cible une fonctionnalité récente de GitHub appelée Agentic Workflows, lancée fin juin 2026.

Cette fonctionnalité combine GitHub Actions (un système d'automatisation de tâches) avec un agent IA basé sur des modèles comme Claude ou GitHub Copilot.

L'objectif est de permettre aux utilisateurs de décrire des automatisations en langage naturel plutôt qu'en code.

L'agent IA lit les tickets, appelle des outils et répond de manière autonome.

Dans le cas de cette faille, l'agent dispose d'un accès en lecture à tous les dépôts de l'organisation, publics comme privés, dès qu'un ticket est assigné, ce qui a permis l'extraction de données sensibles.

Pour exploiter cette faille, il suffit d'ouvrir un ticket dans un dépôt public appartenant à une organisation utilisant les Agentic Workflows.

Les chercheurs ont démontré que même un ticket d'apparence anodine, comme une demande commerciale après un rendez-vous client, pouvait suffire.

L'agent IA, trompé par une injection de prompt, lit les instructions cachées dans le ticket et exécute des actions non prévues, comme copier le contenu d'un dépôt privé dans sa réponse publique.

Aucune compétence technique, ni accès préalable, ni identifiants ne sont nécessaires pour mener cette attaque, ce qui la rend particulièrement dangereuse.

Les chercheurs ont informé GitHub de cette faille, mais aucune réaction publique n'a été observée à ce jour.

Cette absence de communication reflète un problème structurel dans la gestion des modèles de langage par Microsoft, propriétaire de GitHub.

Les garde-fous censés protéger contre ce type d'attaques n'ont pas fonctionné comme prévu, soulignant les limites des systèmes automatisés basés sur l'intelligence artificielle.

Cette situation interroge sur la robustesse des mécanismes de sécurité face à l'évolution rapide des outils d'IA intégrés aux plateformes de développement.

Cette faille met en lumière les risques liés à l'intégration croissante de l'intelligence artificielle dans les outils de développement.

Les dépôts privés hébergés sur GitHub contiennent souvent des informations sensibles, comme des codes sources propriétaires, des clés d'accès ou des données clients.

Une fuite de ces données pourrait avoir des conséquences graves pour les entreprises, allant de la perte de propriété intellectuelle à des atteintes à la sécurité des utilisateurs.

Les chercheurs soulignent l'urgence pour les plateformes comme GitHub de renforcer leurs mécanismes de protection contre les injections de prompt et de revoir leurs protocoles de sécurité pour les agents IA.