Un chercheur en sécurité a démontré qu'un document Word piégé peut contaminer tous les fichiers générés ensuite par Copilot, et se propager de document en document, sans intervention de l'attaquant.
Et c'est reparti pour un tour ! Qu'est-ce que vous pensez d'un dépôt privé sur Github qui serait capable d'exfiltrer tout seul son propre code dans une section commentaire visible publiquement par tout le monde. Ce serait ouf non ?
Hé bien c'est le tour de passe-passe que Sasi Levi, de chez Noma Security, vient de réussir grâce à l'agent IA de GitHub. Et vous allez voir, c'est tout con, donc c'est hyper flippant.
Cette attaque s'appelle GitLost et la cible, c'est le GitHub Agentic Workflows, un système qui colle un agent IA (tournant sur Claude ou Copilot) à vos GitHub Actions pour qu'il bosse tout seul sur vos tickets. C'est un setup où l'agent a un accès en lecture à vos repos privés et se réveille dès qu'une issue lui est assignée. C'est super pratique, sauf que... c'est un vrai piège qui peut se refermer très vite sur vous.
Ça commence en fait par une simple issue dans un dépôt public. Rien de sorcier, pas de commit vérolé, pas de serveur MCP malveillant. Juste du texte, avec des instructions planquées en anglais au milieu du ticket. L'agent lit alors cette issue, tombe sur les instructions cachées à l'intérieur et les considère comme des ordres légitimes.
Et c'est là que ça part en couille, puisqu'après il part gentiment chercher le contenu d'un README qu'on lui demande dans un dépôt privé auquel il a accès (dans la démo, sasinomalabs/testlocal). Jusqu'ici, c'est l'exfiltration classique du prompt injection, sauf que d'habitude, il faut ruser pour faire sortir la donnée avec une image markdown piégée, une requête réseau vers un serveur qu'on contrôle, un canal caché...etc.
Mais dans le cadre de cette attaque GitLost, eh bien il n'y a pas besoin de tout ça. En fait, l'agent recopie bêtement le contenu privé dans un commentaire public sur l'issue de départ et c'est terminé. C'est donc lisible par n'importe qui passant sur le repo public.
Lors des tests, le modèle refusait quand même parfois d'obéir aux instructions cachées. Mais le chercheur a trouvé une parade qui est d'ajouter le mot "Additionally" dans le prompt. Ce simple connecteur suffit à lui faire reconsidérer son refus et exécuter la commande. Attention, "Additionally" n'est pas une formule magique qui débloque toutes les IA de la Terre, mais parfois ça suffit à faire sauter les garde-fous. C'est dire à quel point la sécurité de ces modèles est solide...
Si ça vous rappelle quelque chose, c'est normal. On a déjà eu CamoLeak , qui transformait Copilot en espion via un commentaire GitHub, avec une exfiltration bien plus léchée (image markdown, score CVSS de 9,6). Et en fait GitLost, c'est vraiment la version feignasse. En gros, c'est la même famille d'attaque, sauf que cette fois l'attaquant n'a pas à se fatiguer.
On avait aussi vu une bibliothèque Java piéger les IA codeuses pour qu'elles effacent vos tests, donc je pense que vous connaissez la chanson... Méfiez-vous des agents qui écrivent du code sans surveillance parce qu'ils sont devenus une véritable cible pour les cybercriminels.
Voilà, donc non, GitHub n'est pas "troué" et la config vulnérable est très précise puisqu'il faut un agent avec accès en lecture cross-repo ET déclenché par des entrées publiques. Et il y a très peu d'orgas qui tournent exactement comme ça. Noma a bien sûr signalé la faille à GitHub de façon responsable, aucune CVE n'a été attribuée à ce jour, et y'a eu aucune confirmation publique d'un correctif de leur côté pour le moment.
Ne traitez donc jamais le texte d'un utilisateur comme une instruction de confiance, isolez les entrées, collez au strict minimum de permissions. C'est le même délire quand on contrôle les entrées dans un formulaire finalement...
Honnêtement, avec la puissance actuelle de nos LLM, finalement, est-ce qu'on a encore besoin d'avoir des applications ?
Un outil type Claude Code ou Microsoft Copilot, à côté, un gros tas de données diverses et variées, quelques accès à des services et basta ! C'est peut-être ce vers quoi on se dirige, à notre grand détriment...
La preuve avec cette vidéo qui traîne sur le Discord de BetaWiki, tournée en 2024 et dont Microsoft ne dit mot. Des sources internes ont authentifié le clip pour le compte de Windows Central , le site qui a sorti l'affaire en premier. Dedans, un prototype d'OS baptisé Project Aion, où Copilot remplace le menu Démarrer, la barre des tâches et tout le shell classique. Il n'y a plus d'applications à lancer comme d'habitude mais une simple boîte de dialogue pour piloter votre machine, et c'est à peu près tout.
Le codebase porte le joli nom de Win3, Edge sert de shell, Chromium fait tourner le moteur de rendu et pour ouvrir un programme Win32 comme Word, Aion ne lance rien en local. Il vous renvoie en réalité vers une instance Windows Cloud PC semblable à Windows 365 (C'est le Windows dans le cloud). Puis à côté, une boîte de saisie multimodale, des "Spaces" qui regroupent vos applis et vos sites web via l'IA, et des plugins capables de rédiger puis d'expédier vos mails Outlook tout seuls depuis un Space.
Le truc, c'est que Microsoft a déjà commencé à faire marche arrière sur Copilot ces derniers mois. Ils ont discrètement enterré l'intégration prévue dans les notifications et les paramètres de Windows 11 , et Edge a même supprimé sa recherche d'historique par IA après la grogne des utilisateurs.
Du coup, Aion sent un peu le prototype qui a pris une bonne douche froide mais la direction officielle reste nette : IA PARTOUT ! Windows a même été officiellement présenté comme un OS pensé pour les agents IA et il y a actuellement plus de 80 produits Copilot dans le portefeuille de Microsoft, donc c'est loin d'être une lubie pour eux.
Par contre, côté public, l'accueil est glacial. Les gens ont vite compris qu'avec un OS comme celui-ci, plus aucune de nos applis locales ne tourneraient sans le cloud, que l'IA pourrait lire à travers tous nos Spaces d'un coup, sans parler du contrôle utilisateur qui fondrait comme neige au soleil... Vous allumez votre PC, et la moindre action ou fonction système transite par Copilot. Quelle déprime !
Mais bon, pas de panique non plus pour votre Windows 10 ou 11 puisque Aion ne sortira pas demain ni après-demain. De toute façon, Microsoft n'a rien annoncé. Par contre, cette petite fuite montre jusqu'où Redmond est prêt à aller pour tuer l'applicatif au profit d'une "conversation" globale avec l'IA. Putain, quel cauchemar quand on y pense...
Source : gHacks
Connexion