Une démonstration via un problème GitHub public révèle le risque d’exposition de données privées dans les flux de travail agentiques

Des chercheurs de Noma Security affirment qu’un problème GitHub public peut être utilisé pour manipuler les flux de travail agentiques de GitHub afin d’exposer des données provenant de dépôts privés, mettant en évidence une nouvelle catégorie de risques liés aux outils de développement pilotés par l’IA.

L’attaque, que Noma appelle GitLost, ne nécessite ni identifiants volés ni accès aux systèmes internes d’une organisation. Un attaquant peut au contraire ouvrir un problème d’apparence ordinaire sur un dépôt public et y inclure des instructions conçues pour influencer l’agent d’IA chargé de le traiter. Si l’organisation a accordé à cet agent un accès en lecture à plusieurs dépôts, y compris des dépôts privés, le flux de travail peut récupérer du contenu sensible et l’insérer dans une réponse publique.

Les flux de travail agentiques de GitHub, actuellement proposés en préversion publique, permettent aux équipes de définir des automatisations en langage courant. L’agent peut lire les problèmes et les demandes de tirage, exécuter des outils et répondre automatiquement. Il peut également s’appuyer sur des systèmes tels que GitHub Copilot, Anthropic Claude, Google Gemini ou OpenAI Codex. Par défaut, cette fonctionnalité est limitée à la lecture, mais les organisations peuvent étendre ses accès au moyen de jetons couvrant plusieurs dépôts.

Selon Noma, cette faille relève d’une forme d’injection indirecte de prompt : le modèle peut considérer le texte rédigé par l’attaquant comme des instructions plutôt que comme des données non fiables. Dans la démonstration de faisabilité, un flux de travail qui réagissait aux problèmes attribués a été incité à lire le fichier README d’un dépôt privé et à le publier. Les chercheurs ont indiqué qu’une légère modification de la formulation avait suffi à contourner les contrôles de sécurité intégrés au produit lors de leur test.

GitHub a déjà averti que les agents d’IA pouvaient être influencés par du contenu malveillant et des outils compromis. Sa plateforme comprend également des mécanismes de mise en bac à sable, de nettoyage des entrées et d’analyse des sorties avant la publication des messages. Les chercheurs estiment toutefois que le problème plus large est structurel lorsqu’un agent peut lire des données privées, traiter du texte public non fiable et publier les résultats.

Pourquoi c’est important

• Les organisations qui utilisent un accès en lecture étendu à l’ensemble des dépôts sont les plus exposées.
• Les fuites potentielles peuvent concerner du code source, des documents internes, des clés ou des secrets CI/CD.
• Les experts en sécurité recommandent de limiter précisément la portée des jetons, de restreindre les personnes autorisées à déclencher les flux de travail et d’exiger une validation humaine pour les sorties destinées au public.

Noma a signalé le problème à GitHub et publié ses conclusions avec l’accord de l’entreprise. Ce cas vient s’ajouter à une liste croissante de démonstrations similaires d’injection de prompts visant des outils de codage assistés par l’IA et intégrés à GitHub.