Vulnérabilité GitLost sur GitHub : des agents AI divulguent des données de dépôts privés

Des chercheurs de la société Noma Labs ont publié en juillet 2026 des données sur une vulnérabilité de la plateforme GitHub, baptisée GitLost. Selon le rapport, les agents IA de GitHub peuvent extraire des données de référentiels privés lors de certaines demandes et les publier sous forme de commentaires ouverts, accessibles à tout utilisateur de la plateforme.

Comment fonctionne la vulnérabilité GitLost

GitLost appartient à la classe des attaques par injection de prompt — injection d'instructions malveillantes dans une demande adressée à un agent IA.

Le mécanisme d'exploitation est basé sur les caractéristiques du fonctionnement des agents IA de GitHub. Les agents opèrent avec les droits d'accès d'un utilisateur ou d'une organisation et peuvent accéder à plusieurs référentiels simultanément. Un attaquant crée une demande spécialement conçue — intégrant des instructions cachées dans du contenu publiquement visible — et lorsque l'agent la traite, il accède au référentiel privé et envoie les données où elles deviennent publiquement disponibles : dans un commentaire sur une issue ou une pull request.

Faits clés sur la vulnérabilité :

• La vulnérabilité a été découverte par Noma Labs et officiellement nommée GitLost
• Les agents IA de GitHub publient des données de référentiels privés sous forme de commentaires ouverts
• Vecteur d'attaque — injection de prompt : les instructions malveillantes sont déguisées en demande légitime
• Sont menacées les organisations où les agents IA ont accès à plusieurs référentiels simultanément

Pourquoi cette classe d'attaques est dangereuse

L'injection de prompt diffère des vulnérabilités classiques en ce que l'attaquant ne compromet pas l'infrastructure directement, mais « convainc » l'agent d'accomplir une action indésirable. Depuis que les agents IA ont acquis la capacité d'agir de manière autonome — lire des fichiers, exécuter du code, publier des commentaires — la surface d'attaque sur les plateformes de développement s'est considérablement élargie.

Les systèmes de sécurité ne détectent pas d'anomalies lors de l'injection de prompt : l'agent fonctionne en mode normal, au nom d'un utilisateur autorisé. Formellement, il 'fait ce qui a été demandé', bien que la demande provenait non pas d'un utilisateur légitime, mais d'un attaquant.

Pour GitHub, la situation est particulièrement sensible : les entreprises stockent du code propriétaire, des fichiers de configuration avec des secrets et de la documentation interne dans des référentiels privés. Pendant ce temps, les agents IA de l'écosystème GitHub Copilot gagnent en popularité, et de nombreuses équipes leur accordent des permissions étendues sans effectuer un audit des risques complet.

Ce que les développeurs perdent en cas de fuite

Si GitLost est exploité avec succès, un attaquant obtient l'accès au contenu d'un référentiel privé via un commentaire public ouvert. Selon ce qui y est stocké, les risques suivants existent :

• Code source de projets propriétaires et d'algorithmes
• Clés API, jetons et mots de passe des fichiers de configuration (.env, secrets.yml et similaires)
• Correspondance interne : discussions dans les issues et les pull requests, détails techniques, contexte commercial

Un problème particulier est l'imperceptibilité de la fuite. Comme l'agent fonctionne en mode normal, l'incident est difficile à détecter dans les systèmes SIEM d'entreprise : il n'y a pas de comptes compromis, pas de fichiers malveillants, pas de signes évidents de compromission.

Ce que cela signifie

GitLost est un exemple clair d'une vulnérabilité systémique des agents IA : plus leurs droits d'accès sont larges, plus une injection réussie peut être destructrice. Les organisations utilisant des agents IA sur GitHub devraient immédiatement réviser les permissions des agents, les restreindre selon le principe du moindre privilège et surveiller les recommandations officielles et les correctifs de GitHub.