Des paquets npm Nx piégés transforment les CLI de programmation IA des développeurs en outils de chasse aux secrets
Des attaquants ont volé le jeton de publication npm de Nx par une faille d’injection dans GitHub Actions et publié des versions malveillantes de paquets Nx pendant environ quatre heures le 26 août 2025. Un script de post-installation collectait des secrets et lançait toute CLI Claude, Gemini ou Amazon Q installée localement avec des options désactivant les demandes d’autorisation, en lui ordonnant de fouiller le système de fichiers à la recherche de fichiers sensibles, puis téléversait les résultats vers des dépôts GitHub publics. Dans une seconde phase, des jetons GitHub volés ont servi à rendre publics plus de 6 700 dépôts privés.
Wiz a constaté qu’environ la moitié des victimes avaient au moins une CLI d’IA installée, que près d’un quart des interactions avec Claude avaient été refusées et que la recherche pilotée par l’IA avait exfiltré des données avec succès dans moins d’un quart des cas ; il a dénombré plus de 20 000 fichiers divulgués dans son échantillon. Nx est passé aux Trusted Publishers de npm avec OIDC et à une approbation manuelle par double authentification pour les publications.
Ce qui l’aurait évité
Ne pas laisser des scripts lancer des CLI d’IA dont les contrôles d’autorisation sont désactivés ; garder les demandes d’approbation des agents non contournables par défaut.
Garde-fous
- G1 Moindre privilège Défaillant Les CLI détournées pouvaient parcourir récursivement le système de fichiers de l’utilisateur à la recherche de fichiers sensibles.
- G2 Validation humaine Défaillant Le logiciel malveillant lançait Claude avec --dangerously-skip-permissions et Gemini avec --yolo, contournant les demandes d’approbation.
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Partiel Près d’un quart des interactions avec Claude ont été refusées ; Gemini a refusé moins souvent.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Défaillant Les CLI étaient lancées de façon non interactive par un script de post-installation npm, à l’insu de l’utilisateur.
- G8 Réversibilité Partiel GitHub a mis hors ligne les dépôts divulgués, mais les secrets étaient déjà exposés et beaucoup restaient valides.
Sources
-
“The malicious packages ran a post-install script that scanned user systems for sensitive data, attempted to use local AI tools (like Claude and Gemini), and uploaded the results to a public GitHub repo via the GitHub CLI.”
-
“Kurmi said the abuse of locally installed generative AI CLIs, such as Claude, Gemini, and Q, presented a novel method of attack to bypass defenses.”
-
“The malware also abused locally configured AI CLIs to identify additional files for exfiltration.”
L’indice de confiance de 92 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 3 sources