PromptPwnd : le texte d’un ticket peut détourner des agents IA dans GitHub Actions pour faire fuiter des secrets du dépôt
Aikido Security a montré que les workflows GitHub Actions et GitLab CI/CD qui insèrent du texte non fiable de tickets, de pull requests ou de commits dans les prompts d’agents IA détenant des jetons privilégiés peuvent être détournés par injection de prompt. Dans une preuve de concept contre le workflow de tri des tickets du dépôt gemini-cli de Google lui-même, exécutée sur un fork privé avec des identifiants de test, un ticket malveillant a fait exécuter gh issue edit à l’agent Gemini et écrire des jetons dans le corps du ticket. Aikido affirme que Google a corrigé la faille en quatre jours et qu’au moins cinq entreprises du Fortune 500 étaient touchées par ce schéma.
Aikido affirme que certains workflows vulnérables peuvent être déclenchés par n’importe quel utilisateur externe qui ouvre un ticket. Elle avertit que Claude Code Actions et OpenAI Codex deviennent exposés lorsque leurs protections par défaut, comme l’exécution réservée aux utilisateurs disposant d’un droit d’écriture, sont désactivées, et a publié des règles Opengrep open source pour détecter ce schéma.
Ce qui l’aurait évité
Tenir le texte non fiable des tickets et des pull requests hors des prompts des agents d’intégration continue, et leur donner des jetons minimaux en lecture seule.
Garde-fous
- G1 Moindre privilège Défaillant Les agents détenaient des jetons à privilèges élevés sur le dépôt et le cloud tout en traitant du texte de tickets non fiable.
- G2 Validation humaine Défaillant Les workflows exécutaient automatiquement les appels d’outils privilégiés des agents, sans validation humaine.
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Défaillant L’agent a suivi des instructions cachées dans un ticket malveillant.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Non évalué Une personne responsable pouvait-elle voir ce qu’il faisait et l’arrêter à temps ?
- G8 Réversibilité Non évalué Les dégâts pouvaient-ils être réparés ?
Sources
-
“Google’s own Gemini CLI repository was affected by this vulnerability pattern, and Google patched it within four days of Aikido’s responsible disclosure.”
-
“At least five Fortune 500 companies have been affected so far, and indicators suggest many more may unknowingly be exposed.”
-
“Aikido Security said that Google had patched the issue in Gemini CLI upon being informed; Google did not immediately respond to a request for information about this.”
L’indice de confiance de 92 % provient de ces seules sources. Notre méthode
Historique
- 15 oct. 2026Ajouté au registre avec 3 sources