Des chercheurs signalent une faille d’injection de prompts dans GitHub Agentic Workflows

Des chercheurs en sécurité de Noma Labs ont identifié une faille critique d’injection de prompts dans GitHub Agentic Workflows qui pourrait permettre à un attaquant non authentifié d’exposer des données provenant de dépôts privés. Baptisée GitLost, cette vulnérabilité montre comment un problème GitHub public spécialement conçu peut inciter un workflow alimenté par l’IA à effectuer des actions imprévues.

GitHub Agentic Workflows permet aux équipes de définir des automatisations en Markdown, un agent d’IA interprétant ces instructions et interagissant avec les dépôts via GitHub Actions. Selon Noma Labs, un workflow testé était configuré pour réagir aux événements issues.assigned, lire le titre et le corps du problème, puis publier une réponse. Comme le workflow avait accès aux dépôts publics et privés de l’organisation, les chercheurs affirment qu’il pouvait être exploité pour récupérer des informations sensibles.

Dans la démonstration de faisabilité décrite par l’entreprise, un attaquant devait simplement créer un problème dans un dépôt public et attendre que le workflow le traite. Noma Labs a indiqué avoir pu rédiger un message semblant provenir de la direction commerciale et convaincre l’agent de recueillir le contenu des fichiers Readme.md des dépôts publics et privés avant de publier les résultats dans un commentaire public.

GitHub a mis en place des protections destinées à réduire le risque d’injection de prompts, mais les chercheurs ont indiqué que ces contrôles avaient été contournés lors des tests. Ils ont expliqué que le comportement avait finalement été déclenché après plusieurs variantes, dont une qui ajoutait le mot « additionally ».

Pourquoi cette découverte est importante

Noma Labs a déclaré que cette faille met en évidence un problème de sécurité plus vaste pour les systèmes d’IA agentique : tout contenu consommé par l’agent peut devenir une partie de la surface d’attaque s’il est traité comme une instruction de confiance plutôt que comme une entrée non fiable. L’entreprise a comparé l’injection indirecte de prompts à l’injection SQL dans les applications web traditionnelles, estimant qu’elle nécessite des défenses en couches plutôt que des mesures de protection isolées.

• Traiter tout contenu généré par les utilisateurs comme une entrée non fiable.
• Limiter les autorisations de l’agent au strict nécessaire.
• Restreindre ce que les systèmes d’IA peuvent publier publiquement.
• Nettoyer le contenu avant de le transmettre aux workflows agentiques.

La vulnérabilité a été signalée à GitHub selon les règles de divulgation responsable. Noma Labs a indiqué que les organisations utilisant des workflows agentiques devraient partir du principe que les problèmes, les demandes de modification, les commentaires et les fichiers des dépôts peuvent tous être manipulés s’ils servent d’instructions pour des agents d’IA.