Des chercheurs en sécurité viennent de détourner trois des agents IA de codage les plus déployés en entreprise. Ils n’ont pas exploité une vulnérabilité logicielle classique. Ils n’ont pas forcé d’identifiants. Ils ont écrit un titre de pull request.
C’est tout. Un titre de PR malveillant. Claude Code, Gemini CLI Action de Google, et GitHub Copilot de Microsoft, tous compromis, tous utilisés pour exfiltrer des clés API et des tokens d’accès. Et voici ce qui devrait inquiéter votre équipe sécurité : aucun des fournisseurs concernés n’a publié de CVE ni d’avis de sécurité public.
Les chercheurs de l’Université Johns Hopkins ont révélé ces découvertes cette semaine, qualifiant ce mode d’attaque de « comment-and-control », un jeu de mots sur command-and-control, car toute l’infrastructure d’attaque réside dans GitHub lui-même. Pas de serveurs externes. Pas de malware. Juste des agents IA faisant exactement ce pour quoi ils ont été conçus : lire les données GitHub et agir en conséquence.
Comment l’Attaque Fonctionne Réellement
Les agents de codage IA comme Claude Code Security Review et Gemini CLI Action suivent un flux prévisible. Ils lisent le contenu GitHub, titres de PR, corps d’issues, commentaires, traitent ce contenu comme un contexte de confiance, puis exécutent des tâches selon ce qu’ils trouvent. Cette hypothèse de conception est la vulnérabilité.
Le chercheur Aonan Guan de Johns Hopkins a compris que s’il pouvait injecter des instructions dans les données lues par l’IA, il pourrait rediriger ses actions. Il a donc soumis une pull request en intégrant des instructions malveillantes directement dans le titre de la PR, demandant essentiellement à Claude d’exécuter des commandes bash et de retourner la sortie comme un « résultat de sécurité ».
Claude a exécuté les commandes. Puis il a posté les résultats, y compris les identifiants d’environnement, en commentaire de la PR. L’attaquant écrit le titre. L’attaquant lit le commentaire de revue du bot. Terminé.
Pour Gemini, les chercheurs ont escaladé l’injection via des chaînes de commentaires, finissant par tromper Gemini pour qu’il publie sa propre clé API en commentaire d’issue GitHub. GitHub a payé 1 337 $ pour cette découverte, un clin d’œil de la communauté sécurité.
L’agent GitHub Copilot était plus difficile. GitHub avait ajouté trois défenses au niveau runtime : filtrage d’environnement, scan de secrets et pare-feu réseau. Guan a contourné les trois en cachant le prompt malveillant dans un commentaire HTML, invisible aux réviseurs humains dans le Markdown rendu par GitHub, mais entièrement visible par l’IA traitant le contenu brut. La victime assigne l’issue à Copilot pour correction. Copilot fuit les secrets. L’attaquant efface ses traces en modifiant le titre de l’issue et supprimant la réponse du bot.
Le Problème de la Divulgation Discrète
Voici où cela empire pour les entreprises. Anthropic a été informé du défaut Claude Code en octobre. Ils ont payé une prime de bug de 100 $, la plus basse des trois, ont relevé la gravité à 9,4 (critique) et ajouté une note dans leur documentation indiquant que l’action « n’est pas protégée contre les attaques d’injection de prompt. »
Pas de CVE. Pas d’avis public. Pas de notification aux utilisateurs des versions vulnérables.
Google a payé 1 337 $ et crédité l’équipe de recherche. Toujours pas de CVE. Microsoft, après avoir initialement déclaré que c’était un « problème connu » qu’ils « n’ont pas pu reproduire », a finalement payé 500 $ en mars. Pas de divulgation publique.
Guan a déclaré à The Register : « Je sais avec certitude que certains utilisateurs sont bloqués sur une version vulnérable. S’ils ne publient pas d’avis, ces utilisateurs ne sauront peut-être jamais qu’ils sont vulnérables, ou sous attaque. »
Cette phrase décrit parfaitement l’état actuel de la sécurité IA en entreprise. Votre équipe déploie un agent IA pour aider à la revue de code. Des chercheurs découvrent qu’il peut être détourné pour voler tous les secrets de votre environnement GitHub Actions. Le fournisseur corrige discrètement. Vous ne le savez jamais.
Ce N’est Pas un Cas Isolé
Ce qui rend cela particulièrement inquiétant, c’est que la surface d’attaque n’est pas exotique. GitHub Actions est utilisé par des centaines de milliers d’organisations. Les agents IA de codage, Claude Code, Copilot, intégrations Gemini, sont déployés rapidement dans les équipes d’ingénierie partout. La plupart des organisations n’ont aucune visibilité sur les outils IA utilisés activement dans leurs pipelines CI/CD, ni sur les versions patchées.
Cela relève clairement du shadow AI. Pas le genre où un employé ouvre ChatGPT dans un onglet navigateur, mais celui où des agents IA sont intégrés aux workflows de développement clés avec accès aux secrets de production, sans que la sécurité ait un inventaire complet de ce qui tourne où.
Et cette semaine a apporté une deuxième histoire liée : un défaut de conception dans le Model Context Protocol (MCP) d’Anthropic, le standard ouvert qui permet aux modèles IA de se connecter à des outils et sources de données externes. L’équipe sécurité Ox a découvert que l’usage de STDIO comme transport local permet l’exécution arbitraire de commandes OS, et ce schéma de vulnérabilité se propage à tous les projets utilisant le SDK MCP officiel d’Anthropic, couvrant 150 millions de téléchargements de paquets Python, TypeScript, Java et Rust.
Anthropic a refusé de corriger le protocole lui-même, qualifiant ce comportement d’« attendu ». Dix CVE de gravité haute et critique ont depuis été publiés pour des projets dépendants du MCP. La cause racine reste non corrigée.
Ce Que les Entreprises Doivent Faire Maintenant
Quelques actions pratiques à envisager cette semaine :
Auditez vos GitHub Actions pour les intégrations d'agents IA. Tout workflow invoquant Claude Code, Gemini CLI Action ou GitHub Copilot doit être examiné. Vérifiez quelle version est utilisée. Confirmez si elle a été mise à jour depuis fin 2025.
Restreignez l'accès externe aux workflows d'agents IA. Les trois fournisseurs recommandent de demander l'approbation d'un mainteneur avant que les agents IA ne traitent des contributions externes. Cela ne prévient pas les attaques internes, mais ferme la voie d'attaque externe la plus évidente.
Considérez le contenu des PR et issues comme des entrées non fiables. Si un agent IA dans votre pipeline lit du contenu fourni par l'utilisateur et agit en conséquence, c'est une surface d'injection de requêtes. Les organisations commencent seulement à construire les modèles de sécurité nécessaires pour gérer cela correctement.
Obtenez de la visibilité avant de gouverner. Le problème majeur est que la plupart des équipes de sécurité n'ont pas d'inventaire fiable des outils IA réellement utilisés dans leur environnement, surtout dans les workflows développeurs. On ne peut pas patcher ce qu'on ne connaît pas, ni appliquer une politique sur des agents IA non découverts.
Ce dernier point est précisément là où s'inscrit [Shadow AI Discovery](https://aona.ai/product) d'Aona. Obtenir une vue complète de l'utilisation des outils IA dans l'entreprise, y compris les agents IA intégrés aux outils développeurs, est la condition préalable à toute gouvernance significative. L'attaque décrite cette semaine ne nécessite pas qu'un employé prenne délibérément un risque. Elle exploite des outils IA déjà approuvés par l'informatique, fonctionnant dans des pipelines gérés par l'informatique, faisant exactement ce pour quoi ils ont été conçus.
Le modèle de menace pour la sécurité IA en entreprise vient de devenir nettement plus complexe. La bonne nouvelle est que l'attaque est comprise, les mesures d'atténuation sont documentées, et rien de tout cela ne nécessite d'attendre une action des fournisseurs. La question est de savoir si votre équipe de sécurité a la visibilité pour savoir par où commencer.
