Anthropic, Google et Microsoft ont corrigé en silence des failles d'agents IA, sans CVE ni alerte

Le problème des agents IA dans le développement logiciel n'avait rien de théorique. Le chercheur en sécurité Aonan Guan a montré que les outils d'Anthropic, Google et Microsoft intégrés à GitHub Actions peuvent être détournés par prompt injection et transformés en canal de fuite de secrets. Dans les trois cas, il a suffi que l'agent lise un texte préparé par un attaquant dans son contexte de travail habituel, après quoi il publiait lui-même des clés d'API, des jetons GitHub et d'autres données de l'environnement CI.

L'attaque a été baptisée Comment and Control. Les instructions malveillantes ne se cachent ni dans un exploit distinct ni sur un serveur externe, mais directement dans les données GitHub que l'agent doit de toute façon lire pour travailler : le titre d'une pull request, la description d'une issue, les commentaires et, dans l'un des scénarios, même un commentaire HTML caché. L'agent considère alors ce texte non comme une donnée, mais comme une commande.

Le schéma est simple. Le bot lit l'instruction injectée, exécute l'action demandée, extrait des secrets de l'environnement d'exécution de GitHub Actions et renvoie lui-même le résultat vers GitHub, par exemple dans un commentaire de PR, un commentaire d'issue, un commit ou le journal du pipeline.

Chez Anthropic, le composant vulnérable était Claude Code Security Review, une GitHub Action qui analyse les pull requests à la recherche de problèmes de sécurité. Guan a montré qu'il suffisait d'injecter un payload dans le titre de la PR pour que l'agent exécute des commandes et intègre le résultat à sa réponse JSON, ensuite publiée en commentaire. Selon le chercheur, le rapport a été envoyé à Anthropic le 17 octobre 2025.

L'entreprise a attribué au problème une sévérité CVSS de 9.4 et versé une prime de $100 le 25 novembre. Le correctif s'est limité à une restriction partielle des appels dangereux et à une mise à jour de la section security considerations de la documentation.

L'entreprise n'a publié ni security advisory public ni CVE dédié.

Un scénario similaire a fonctionné contre Gemini CLI Action de Google. L'attaquant ajoutait à une issue et à ses commentaires un texte se faisant passer pour un fragment de contexte de confiance et écrasant les instructions de protection du modèle. Résultat : l'agent publiait sa propre GEMINI_API_KEY en commentaire ordinaire. D'après la chronologie de Guan, Google a reçu le rapport le 29 octobre 2025 et versé $1,337 le 20 janvier 2026.

Pour GitHub Copilot Agent, qui relève de la gamme de produits de Microsoft, le procédé était encore plus retors : l'instruction malveillante était placée dans un commentaire HTML invisible pour l'humain dans le rendu Markdown, mais lisible par l'agent. Une fois la tâche assignée, Copilot suivait ces consignes malgré des couches de protection supplémentaires comme le filtrage de l'environnement, le secret scanning et les restrictions réseau. GitHub a d'abord clos le rapport comme informative, puis, après un second examen, l'a rouvert et versé $500 le 9 mars.

Le constat le plus gênant ne tient pas au montant des primes, mais au modèle de divulgation. Ni Anthropic, ni Google, ni GitHub n'ont émis d'alertes publiques dans le format habituel de la sécurité informatique, et aucun CVE n'a jamais été attribué à ces cas. Les équipes qui avaient figé d'anciennes versions des actions ou des intégrations ont donc pu ne jamais être informées du risque. Pour les scanners de vulnérabilités, le problème n'existe pour ainsi dire pas, faute d'identifiant standard. Pour les équipes de sécurité, il est plus difficile de le placer sous contrôle, de le suivre dans les registres et de le relier aux procédures internes de correctifs.

Formellement, les entreprises ont pu considérer la prompt injection non comme un bug de code classique, mais comme un effet secondaire de l'architecture de l'agent. Sur le plan pratique, les conséquences sont pourtant les mêmes que celles d'une vulnérabilité critique ordinaire : la fuite de clés d'accès et de jetons de l'environnement où tourne l'automatisation.

Cette histoire compte aussi parce qu'elle remet en cause l'hypothèse de base de toute la vague d'automatisation par l'IA dans le développement. On donne à l'agent, simultanément, un accès à des entrées utilisateur non fiables, à des outils d'exécution de commandes et à des secrets sensibles, faute de quoi il ne pourrait pas faire de travail utile. C'est cette combinaison qui crée le risque systémique. Si l'industrie continue d'intégrer de tels agents à la revue de code, au triage, au déploiement et au CI/CD sans modèle d'isolation ni de divulgation des incidents digne de ce nom, de telles attaques cesseront d'être l'exception et feront partie du threat model ordinaire.