Faille critique dans GitHub Copilot : vol de codes privés via une attaque CVSS 9.6

brève actu

Une faille CVSS 9.6 dans GitHub Copilot a permis le vol de codes privés via contournement de sécurité et injection de commandes à distance.

GitHub Copilot, un outil d’assistance à la programmation basé sur l’intelligence artificielle, a récemment été au centre d’une découverte alarmante. En juin 2025, une vulnérabilité critique a été identifiée, mettant en péril la sécurité des codes sources privés hébergés sur la plateforme. Cette faille, notée 9.6 sur l’échelle CVSS, souligne la gravité de la menace. En combinant un contournement inédit de la politique de sécurité de contenu et une injection de commandes à distance, les attaquants ont réussi à exploiter cette vulnérabilité. Ils ont pu intégrer des commandes cachées dans des demandes de fusion, ce qui leur a permis de dérober des données sensibles et de manipuler les réponses de Copilot, y compris l’injection de code malveillant.

Exploitation de la faille via GitHub Copilot

L’attaque exploitant cette faille de GitHub Copilot repose sur une technique sophistiquée de contournement de sécurité. Les attaquants ont profité d’un défaut dans la politique de sécurité de contenu, une mesure normalement conçue pour empêcher l’exécution de contenu non autorisé sur le web. En introduisant des commandes dissimulées dans les demandes de fusion, les pirates ont pu extraire des données sensibles des dépôts privés. Cette méthode d’infiltration a mis en lumière l’insuffisance des protections existantes dans l’outil Copilot, malgré sa réputation de sécurité avancée. Selon GBHackers, cette découverte a suscité une alerte élevée dans la communauté de la cybersécurité, incitant GitHub à revoir ses protocoles de sécurité pour éviter de futures compromissions.

Un chercheur de Legit (voir ci-dessous) a démontré une preuve de concept (PoC) nommée « CamoLeak », qui illustre comment des données peuvent être exfiltrées via GitHub Copilot. Cette approche innovante a révélé les failles potentielles dans les mécanismes de protection de l’IA intégrée de GitHub. Bien que l’entreprise ait mis en place des mesures de sécurité avancées, ce PoC a montré qu’il est possible de contourner ces protections. Comme le détaille Dark Reading, cette attaque souligne la nécessité pour GitHub d’adopter des mesures de sécurité encore plus robustes pour protéger les utilisateurs contre de telles exfiltrations de données.