Une injection de prompt dans le robot de tri de tickets Claude de Cline conduit à une publication npm non autorisée
Cline exploitait un workflow GitHub Actions dans lequel Claude triait les nouveaux tickets avec un accès au shell ; n’importe quel utilisateur de GitHub pouvait le déclencher, et le titre d’un ticket spécialement conçu pouvait amener l’agent à exécuter du code arbitraire. Le chercheur Adnan Khan a montré qu’on pouvait l’enchaîner, par empoisonnement du cache d’Actions, jusqu’aux identifiants de publication ; le 17 février 2026, un tiers non identifié a utilisé un jeton npm que Cline n’avait pas révoqué pour publier cline@2.3.0, qui installait discrètement l’agent OpenClaw et a été téléchargé environ 4 000 fois. Cline a supprimé les workflows de tri par IA, révoqué le jeton et adopté une publication fondée sur OIDC.
Khan a signalé la faille en privé le 1er janvier 2026 et l’a divulguée publiquement le 9 février ; lors de la rotation, Cline a supprimé le mauvais jeton npm, laissant actif celui qui était exposé. Cline affirme que le binaire de la CLI était par ailleurs identique, qu’aucun code malveillant n’a été diffusé et que ses extensions VS Code et JetBrains n’ont pas été touchées.
Ce qui l’aurait évité
Ne jamais donner l’accès au shell à un agent qui lit des entrées non fiables dans une chaîne pouvant atteindre les identifiants de publication.
Garde-fous
- G1 Moindre privilège Défaillant L’agent de tri disposait d’outils Bash et d’écriture et s’exécutait dans le périmètre de cache de la branche par défaut, utilisé par les publications.
- G2 Validation humaine Défaillant N’importe quel utilisateur de GitHub pouvait déclencher l’agent, et ses commandes shell s’exécutaient sans validation humaine.
- G3 Isolement Défaillant Le workflow de tri partageait un cache GitHub Actions avec le workflow de publication nocturne détenant les secrets de publication.
- G4 Intégrité des instructions Défaillant Les titres de tickets étaient insérés dans le prompt de Claude ; Claude a exécuté la charge injectée dans tous les tests.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Partiel StepSecurity a signalé la publication, dépourvue de provenance ; Cline l’a dépréciée environ huit heures plus tard.
- G8 Réversibilité Partiel Cline a publié la 2.4.0 et déprécié la 2.3.0, mais les utilisateurs devaient désinstaller OpenClaw eux-mêmes.
Sources
-
“Clinejection demonstrates an in-the-wild example of how AI agent vulnerabilities become the entry point for traditional CI/CD exploitation.”
-
“On February 17, a third party used the still-active token to publish cline@2.3.0 with the openclaw postinstall script.”
-
“The affected version was downloaded approximately 4,000 times before the package maintainers deprecated it roughly 8 hours after its release.”
L’indice de confiance de 95 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 3 sources