GitLost : un attaquant non authentifié peut lire vos dépôts privés via les workflows agentiques de GitHub

> En bref : Noma Security a documenté une fuite de données que la communauté a baptisée GitLost : un attaquant non authentifié peut forcer un agent IA GitHub (via les workflows agentiques) à coller le contenu d'un dépôt privé dans un commentaire d'issue publique. L'astuce tient dans un seul mot : « Additionally ».

Le mécanisme

Les workflows agentiques de GitHub automatisent des tâches : tri d'issues, réponses, mises à jour de documentation, ouverture de PRs. Pour travailler, l'agent a accès au contexte du dépôt — et donc, potentiellement, au code privé.

L'attaque se déroule en trois temps :

Le contournement clé : la formulation « Additionally » (ou similaire) dans l'issue. L'agent, en mode « je réponds à l'utilisateur », inclut des informations supplémentaires qu'il a trouvées dans le dépôt. Le contenu privé est collé en commentaire public, sans que personne n'ait rien vu passer.

Pourquoi c'est subtil

Ce n'est ni un bug d'autorisation, ni une fuite de secret. C'est un bug de contexte : l'agent traite correctement l'issue, il a juste décidé que le contenu d'un fichier privé était une information utile à inclure dans sa réponse. Pour l'humain qui lit le commentaire, c'est du sens. Pour l'équipe qui gère le dépôt, c'est une fuite.

Ce qui complique la détection :

Ce qu'il faut vérifier maintenant

La leçon

Les agents IA ne fuient pas les données parce qu'ils sont mal configurés — ils les fuient parce qu'ils sont trop serviables. « Additionally » n'est pas un mot magique, c'est un rappel que le contexte d'un agent est plus large que ce qu'on lui a demandé. La sécurité d'un agent, c'est aussi la gestion de ce qu'il choisit d'inclure dans sa réponse.