CamoLeak : faille critique GitHub Copilot Chat exploitée

Ce qui s'est passé

Une vulnérabilité critique de GitHub Copilot Chat, identifiée CVE-2025-59145 et notée 9,6 sur l'échelle CVSS, a permis à des attaquants de dérober silencieusement des données sensibles depuis les dépôts privés des entreprises utilisatrices. Surnommée CamoLeak par le chercheur Omer Mayraz qui l'a divulguée publiquement, l'attaque exploite la capacité de l'assistant IA à lire les commentaires Markdown cachés présents dans une description de pull request, sans qu'aucun code malveillant ne soit jamais exécuté sur la machine de la victime. Le simple fait pour un développeur d'ouvrir la PR puis de demander à Copilot Chat de la résumer suffisait à déclencher l'exfiltration des secrets, ce qui place cette faille parmi les plus furtives jamais documentées dans l'écosystème des assistants de code.

Le scénario d'attaque se déroule en trois temps. L'attaquant glisse d'abord des instructions invisibles dans la description d'une pull request grâce à la syntaxe de commentaire HTML acceptée par Markdown. Lorsque la victime active Copilot, l'assistant ingère ces instructions cachées et part fouiller le code privé à la recherche de jetons d'API, identifiants AWS et clés de chiffrement. Les données collectées sont ensuite exfiltrées via Camo, le proxy d'images interne de GitHub, ce qui permet de contourner les restrictions de Content Security Policy puisque le trafic apparaît comme légitime aux yeux des dispositifs de sécurité réseau.

GitHub a discrètement déployé un correctif en août 2025 en désactivant le rendu des images dans Copilot Chat. La divulgation publique a attendu deux mois supplémentaires, le temps que les équipes de Microsoft et GitHub valident l'efficacité de la mesure et préviennent les grands comptes les plus exposés. Selon les analyses techniques publiées par BlackFog et SecurityWeek, aucune télémétrie ne suggère d'exploitation à grande échelle, mais la simplicité du procédé inquiète les équipes sécurité.

Pourquoi c'est important

CamoLeak inaugure une nouvelle catégorie d'attaques où l'assistant IA devient lui-même le canal d'exfiltration, sans qu'aucun binaire ne soit déposé sur les postes des développeurs. Le mode opératoire ne nécessite pas de compromission préalable : un simple commentaire dans une PR contributoire suffit, ce qui rend la détection extrêmement difficile pour les EDR et SIEM traditionnels qui n'inspectent pas les flux conversationnels entre développeurs et copilotes. Pour les équipes SOC, le périmètre à instrumenter s'étend désormais à un nouveau canal souvent absent des plans de surveillance.

L'incident illustre aussi la fragilité du modèle de confiance des assistants IA dotés d'un accès profond au code source. Les mêmes mécanismes d'injection indirecte de prompt s'appliquent à Microsoft 365 Copilot, Google Gemini Code Assist ou aux agents IA autonomes que Microsoft prépare pour Copilot 365. Pour les entreprises ayant déployé ces outils sur des bases de code stratégiques, la question n'est plus de savoir si une variante de CamoLeak surgira, mais quand. La récente vague de vulnérabilités IA, dont la RCE Marimo exploitée en 10 heures, confirme que la surface d'attaque autour des outils de développement assistés par IA s'élargit plus vite que les capacités de défense.

Ce qu'il faut retenir

• Vérifier que toutes les instances Copilot Chat utilisent la dernière version, post-août 2025, avec rendu d'images désactivé côté serveur GitHub.
• Auditer les politiques de revue de code : interdire le résumé automatisé par IA des pull requests provenant de contributeurs externes non vérifiés.
• Étendre la collecte d'indicateurs aux journaux d'API des assistants IA (prompts entrants, requêtes sortantes vers des proxies d'images ou de contenu).

Le décomposition du score CVSS 9,6 attribué à CVE-2025-59145 éclaire la sévérité inhabituelle de CamoLeak. Le vecteur d'attaque reste réseau (AV:N) avec une complexité faible (AC:L), sans privilège requis (PR:N), mais nécessite une interaction utilisateur minimale (UI:R) — l'ouverture d'une pull request suffisant à déclencher la chaîne d'exfiltration. L'impact sur la confidentialité est classé élevé (C:H), tandis que l'intégrité et la disponibilité restent inchangées, ce qui correspond au profil classique d'une injection de prompt indirecte : aucune altération du système, mais une fuite de données totale et silencieuse. Ce type de score place CamoLeak dans la même catégorie de criticité que les grandes failles d'exécution de code à distance, alors même qu'aucun code n'est jamais exécuté côté victime — signe que les référentiels d'évaluation du risque doivent désormais intégrer pleinement les vecteurs propres aux assistants IA.

CamoLeak s'inscrit dans une lignée de vulnérabilités révélées depuis 2024 autour des agents de codage assistés par IA, aux côtés de failles similaires touchant Cursor, Windsurf et Amazon Q Developer, toutes exploitant la même faiblesse structurelle : l'incapacité des modèles à distinguer un contenu de donnée d'une instruction exécutable lorsqu'ils traitent du texte non fiable (issues, commentaires, descriptions de PR). Le chercheur Omer Mayraz, qui a documenté CamoLeak via le programme de bug bounty de GitHub, a reçu une prime de 4 000 dollars pour cette découverte — un montant jugé modeste par plusieurs experts en sécurité offensive au regard de l'ampleur de l'exposition, puisque la faille touchait potentiellement l'ensemble des dépôts privés accessibles via Copilot Business et Enterprise, soit plusieurs millions de comptes professionnels selon les chiffres publics de GitHub sur l'adoption de Copilot en entreprise. Cet écart entre gravité technique et récompense financière relance le débat sur le calibrage des programmes de bug bounty face aux vulnérabilités spécifiques à l'IA générative, dont l'exploitation ne laisse quasiment aucune trace dans les journaux d'audit traditionnels et complique d'autant la détection rétroactive par les équipes SOC.