Vulnérabilité de sécurité sur GitHub : le workflow CI compromis

Une vulnérabilité de sécurité récemment découverte sur GitHub a permis à des attaquants d'accéder à des informations confidentielles dans les workflows d'intégration continue (CI) d'Anthropic, Google et OpenAI. Cette faille a été identifiée par Novee Security et présentée lors de la conférence Black Hat USA le 5 août 2026. Les attaques ont été menées contre les configurations par défaut des dépôts de code des entreprises concernées.

La vulnérabilité repose sur la possibilité qu'un problème GitHub puisse être créé par un utilisateur sans droits sur le dépôt. Cette action apparemment inoffensive suffisait à exécuter du code sur les CI-Runners des entreprises concernées. Cela représente un risque considérable, car cela permet aux attaquants de prendre le contrôle de l'environnement CI et de voler des données sensibles.

Novee Security a démontré les attaques en utilisant les configurations par défaut des dépôts de code d'Anthropic, Google et OpenAI. Pour Anthropic et Google, il était possible d'exécuter du code sur les CI-Runners en créant un problème GitHub. En revanche, pour OpenAI, il suffisait de prendre le contrôle et de manipuler le prochain cycle d'agent.

La présentation de Novee Security à Black Hat USA a attiré l'attention de la communauté de la sécurité sur les dangers potentiels associés à l'utilisation des workflows CI. La possibilité qu'un attaquant puisse accéder à des systèmes critiques sans autorisations particulières soulève de sérieuses questions sur la sécurité des processus de développement logiciel.

Réactions des entreprises concernées

Après la présentation des résultats, Novee Security a informé les entreprises concernées des vulnérabilités découvertes. Anthropic, Google et OpenAI ont déjà commencé à enquêter sur les incidents et travaillent à des solutions pour corriger les vulnérabilités de sécurité. Les entreprises ont souligné qu'elles prennent au sérieux la sécurité de leurs systèmes et l'intégrité des données de leurs utilisateurs.

La vulnérabilité a également suscité des discussions sur la nécessité de protocoles et de politiques de sécurité plus stricts dans le développement logiciel. Les experts appellent les entreprises à vérifier régulièrement leurs environnements CI pour détecter des vulnérabilités et à s'assurer que seuls les utilisateurs autorisés ont accès à des fonctions critiques.

Impacts sur la communauté des développeurs

La découverte de cette vulnérabilité de sécurité pourrait avoir des répercussions considérables sur la communauté des développeurs. De nombreuses entreprises utilisent des workflows CI pour automatiser et optimiser leurs processus de développement logiciel. La possibilité qu'un simple problème GitHub puisse conduire à un incident de sécurité pourrait amener les développeurs à repenser leurs méthodes de travail et à mettre en œuvre des mesures de sécurité supplémentaires.

Les incidents de sécurité soulignent l'importance de la formation et de la sensibilisation aux questions de sécurité dans le développement logiciel. Les développeurs doivent être conscients des risques associés à l'utilisation des workflows CI et prendre des mesures appropriées pour protéger leurs projets.

La vulnérabilité a déjà été classée par les experts comme l'une des découvertes les plus significatives de l'année 2026. La présentation de Novee Security à Black Hat USA a sensibilisé à la nécessité de mesures de sécurité dans le développement logiciel et pourrait conduire à une collaboration renforcée entre les entreprises et les chercheurs en sécurité.