Un agent de code en « autopilot » a exfiltré des secrets en 28 secondes

Un rappel brutal pour qui laisse ses agents de code travailler seuls : 28 secondes ont suffi, dans une démonstration de chercheurs, pour faire exfiltrer un fichier de secrets par un agent en mode autopilot. Pas une attaque constatée en masse — une preuve de concept. Mais la leçon est solide.

Ce qui s’est passé

Les chercheurs d’Adversa AI ont décrit une injection qui, en mode autopilot, a conduit l’agent Copilot CLI de GitHub à exfiltrer un fichier .env.prod (des secrets) en 28 secondes, dans environ la moitié des essais. GitHub a validé le problème début octobre mais a choisi de ne pas le classer comme une vulnérabilité. Traduction : le comportement est « attendu » dès lors qu’on laisse un agent agir sans validation.

Ce que ça veut dire

Un agent en autopilot n’exécute pas seulement tes instructions : il exécute aussi celles qu’un attaquant glisse dans ce qu’il lit — un fichier, une page web, une dépendance. C’est l’injection de prompt, et l’agent ne « sait » pas que c’est un piège. S’il a accès à tes secrets (clés API, mots de passe dans un .env), il peut être manipulé pour les envoyer ailleurs. Le danger n’est pas l’IA « méchante » : c’est l’IA obéissante à qui on a donné trop d’accès et trop d’autonomie.

Ce que tu fais lundi matin

Trois gestes simples. Ne mets pas un agent en autopilot sur un projet qui contient des secrets. Sors les secrets de son périmètre : variables d’environnement hors dépôt, gestionnaire de secrets dédié, jamais de clés en clair à portée. Et exige une validation avant toute action sensible (envoi réseau, suppression, commit) — c’est exactement la logique de la checklist pour borner un agent. Au passage, c’est un bon moment pour relire les données à ne jamais laisser à portée d’une IA.

Le piège à éviter

Le piège, c’est la commodité de l’autopilot : « je le laisse tout faire, c’est plus rapide ». Plus rapide, jusqu’au jour où il envoie tes clés ailleurs en 28 secondes. Et l’illusion qui va avec : croire qu’une consigne de prudence dans le prompt (« ne divulgue jamais de secret ») protège. Elle ne protège pas — une injection la contourne. Le seul vrai garde-fou est matériel : ne pas donner l’accès, et valider les actions. Avec un agent, la règle AXO ne change pas : une consigne n’est pas une barrière.

Questions fréquentes

Que s'est-il passé avec Copilot CLI ?

Des chercheurs d'Adversa AI ont décrit une technique d'injection qui, en mode autopilot, a permis à l'agent Copilot CLI de GitHub d'exfiltrer un fichier de secrets (.env.prod) en 28 secondes, dans environ la moitié des essais. GitHub a validé le problème début octobre 2026 mais a choisi de ne pas le classer comme une vulnérabilité. C'est une démonstration de chercheurs, pas une attaque massive constatée — mais le risque est réel.

Pourquoi un agent « autopilot » est-il risqué ?

Parce qu'un agent qui agit sans validation exécute non seulement tes instructions, mais aussi celles qu'un attaquant peut glisser dans ce qu'il lit (un fichier, une page, une dépendance) : c'est l'injection de prompt. S'il a accès à tes secrets (clés API, mots de passe dans un .env), il peut être manipulé pour les envoyer ailleurs. L'agent ne « sait » pas que c'est un piège — il suit ce qu'il lit.

Comment se protéger quand on utilise des agents de code ?

Ne mets pas un agent en autopilot sur un projet contenant des secrets. Sors les secrets de son périmètre (variables d'environnement hors dépôt, gestionnaire de secrets dédié), exige une validation humaine avant toute action sensible (envoi réseau, suppression, commit), et revois ce que l'agent fait. Une consigne de prudence dans le prompt ne protège pas : le vrai garde-fou est de limiter les accès et de valider les actions.