GitLost : une faille de GitHub pousse les agents IA à divulguer des données de dépôts privés

En juillet 2026, des chercheurs de Noma Labs ont publié des informations sur une vulnérabilité de la plateforme GitHub, baptisée GitLost. D'après leur description, sur certaines requêtes, les agents IA de GitHub peuvent extraire des données de dépôts privés et les publier sous forme de commentaires publics, accessibles à n'importe quel utilisateur de la plateforme.

Comment fonctionne la vulnérabilité GitLost

GitLost relève de la catégorie des attaques par prompt injection, qui consistent à injecter des instructions malveillantes dans une requête adressée à un agent IA.

L'exploitation tire parti du fonctionnement des agents IA de GitHub. Ces agents agissent avec les droits d'accès d'un utilisateur ou d'une organisation et peuvent interroger plusieurs dépôts à la fois. L'attaquant forge une requête spécialement conçue en dissimulant des instructions dans du contenu visible publiquement. En la traitant, l'agent accède au dépôt privé et en expose les données à un endroit où elles deviennent publiques : un commentaire d'issue ou de pull request.

Les faits clés sur la vulnérabilité :

• La vulnérabilité a été découverte par Noma Labs et porte le nom officiel de GitLost
• Les agents IA de GitHub publient des données de dépôts privés sous forme de commentaires publics
• Le vecteur d'attaque est le prompt injection : une instruction malveillante se fait passer pour une requête légitime
• Les organisations les plus exposées sont celles où les agents IA ont accès à plusieurs dépôts à la fois

Pourquoi cette catégorie d'attaques est dangereuse

Le prompt injection se distingue des vulnérabilités classiques : l'attaquant ne pirate pas directement l'infrastructure, il « convainc » l'agent d'exécuter une action indésirable. Depuis que les agents IA peuvent agir de manière autonome — lire des fichiers, exécuter du code, publier des commentaires —, la surface d'attaque des plateformes de développement s'est considérablement élargie.

Face à un prompt injection, les systèmes de sécurité ne détectent aucune anomalie : l'agent fonctionne normalement, au nom d'un utilisateur autorisé. Formellement, il « fait ce qu'on lui a demandé », sauf que la demande ne vient pas d'un utilisateur légitime, mais d'un attaquant.

Pour GitHub, la situation est particulièrement sensible : les entreprises stockent dans leurs dépôts privés du code propriétaire, des fichiers de configuration contenant des secrets et de la documentation interne. Parallèlement, les agents IA de l'écosystème GitHub Copilot gagnent en popularité, et de nombreuses équipes leur accordent des droits étendus sans procéder à un audit complet des risques.

Que perdent les développeurs en cas de fuite ?

En exploitant GitLost avec succès, l'attaquant accède au contenu d'un dépôt privé via un commentaire public. Selon ce que contient le dépôt, sont menacés :

• le code source de projets et d'algorithmes propriétaires
• les clés API, jetons et mots de passe des fichiers de configuration (.env, secrets.yml et équivalents)
• les échanges internes : discussions dans les issues et pull requests, détails techniques, contexte métier

Le principal problème tient à la discrétion de la fuite. Comme l'agent fonctionne normalement, l'incident est difficile à repérer dans les SIEM des entreprises : aucun compte piraté, aucun fichier malveillant, aucun signe manifeste de compromission.

Ce qu'il faut en retenir

GitLost illustre une vulnérabilité systémique des agents IA : plus leurs droits d'accès sont étendus, plus une injection réussie fait de dégâts. Les organisations qui utilisent des agents IA sur GitHub ont tout intérêt à réexaminer sans attendre leurs autorisations, à les restreindre selon le principe du moindre privilège et à suivre les recommandations officielles et les correctifs de GitHub.