GitSpawn : des dépôts Git malveillants piègent les agents IA

Des agents IA transformés en vecteurs d'exécution silencieuse

Des chercheurs en sécurité de la société Manifold Security ont divulgué le 3 septembre 2026 une nouvelle classe de vulnérabilités baptisée GitSpawn, ciblant les agents IA de développement logiciel les plus utilisés du marché. La découverte est préoccupante à plus d'un titre : l'attaque ne requiert aucune compétence particulière, aucun clic de la part de la victime, et peut s'exécuter avant même qu'elle ait saisi le moindre prompt dans son interface d'agent.

Le principe repose sur une caractéristique fondamentale du fonctionnement des agents IA de coding : dès qu'un projet est ouvert, ces outils collectent automatiquement du contexte en exécutant des commandes Git standards comme git status, git diff ou git log. Cette collecte de contexte se produit en arrière-plan, souvent avant toute intervention de l'utilisateur. Or, la configuration Git d'un dépôt — stockée dans le fichier .git/config — peut être manipulée de façon à déclencher l'exécution de commandes arbitraires sur la machine hôte lors de ces appels Git.

Le vecteur d'exploitation identifié par Manifold Security repose principalement sur la directive core.fsmonitor, une option de configuration Git prévue pour accélérer les opérations sur les systèmes de fichiers. Lorsqu'elle pointe vers un script ou un exécutable contrôlé par l'attaquant plutôt que vers un outil légitime, Git invoque automatiquement ce programme à chaque appel, y compris lors des commandes innocentes déclenchées par l'agent IA. Le code s'exécute alors avec les privilèges de l'utilisateur connecté, sans aucun avertissement, sans boîte de dialogue de confirmation, et dans plusieurs cas testés, avant que l'utilisateur ait même pu lancer une session authentifiée dans l'agent.

Les outils confirmés comme vulnérables comprennent Claude Code (Anthropic), OpenAI Codex, Cursor, Grok Build (xAI), Goose (Block), Hermes Agent et Qwen Code (Alibaba). Cette liste couvre l'essentiel des agents IA de développement actuellement déployés dans les entreprises et utilisés par des millions de développeurs dans le monde. La diversité des éditeurs concernés — des grandes plateformes américaines aux acteurs asiatiques — témoigne du caractère systémique de la faille, qui exploite un comportement commun à l'ensemble de l'écosystème plutôt qu'une implémentation défectueuse propre à un seul outil.

Le scénario d'attaque le plus probable implique la distribution de dépôts piégés via des plateformes de partage de code comme GitHub, GitLab ou Gitea, mais aussi via des archives envoyées par courriel, des liens de téléchargement direct, ou encore des attaques de type supply chain ciblant des bibliothèques open source populaires. Un contributeur malveillant qui parviendrait à insérer un .git/config modifié dans un projet largement utilisé pourrait potentiellement compromettre les machines de milliers de développeurs qui clonent ce dépôt et l'ouvrent avec leur agent IA favori.

La recherche de Manifold Security souligne également que la fenêtre de vulnérabilité est particulièrement critique dans les environnements CI/CD et les pipelines automatisés où des agents IA analysent et traitent des dépôts entrants sans supervision humaine directe. Dans ces contextes, un dépôt malveillant soumis via une pull request pourrait déclencher l'exécution de code sur l'infrastructure de build avant que les mainteneurs du projet aient eu l'occasion d'en examiner le contenu.

Les chercheurs ont notifié l'ensemble des éditeurs concernés avant la publication de leurs travaux, selon un processus de divulgation coordonnée. Des correctifs et des mesures d'atténuation sont en cours de déploiement chez les différents éditeurs, mais la diversité des implémentations signifie que les calendriers de mise à jour varieront d'un outil à l'autre. En attendant les patches, Manifold Security recommande aux éditeurs de désactiver explicitement l'option core.fsmonitor lors de toute collecte de contexte Git en arrière-plan, et conseille aux développeurs de restreindre les permissions accordées à leurs agents IA sur le système de fichiers.

Cette divulgation intervient dans un contexte de multiplication des attaques ciblant les outils de développement, après les incidents liés aux compromissions de packages npm et PyPI, les attaques sur les actions GitHub, et les campagnes de typosquatting visant les développeurs. GitSpawn représente une évolution dans cette tendance : les attaquants ne cherchent plus seulement à injecter du code malveillant dans des librairies — ils exploitent désormais les comportements automatiques introduits par l'IA dans les flux de travail de développement.

L'IA dans le code : un nouveau périmètre d'attaque sous-estimé

La découverte de GitSpawn met en lumière une tension fondamentale dans l'adoption accélérée des agents IA dans les environnements de développement. Ces outils ont été conçus pour être proactifs — collecter du contexte, anticiper les besoins, agir avant d'être sollicités — mais cette proactivité crée mécaniquement une surface d'attaque inédite. Le modèle de sécurité traditionnel du développement logiciel reposait sur l'hypothèse que le code n'est exécuté qu'après une action délibérée de l'utilisateur. Les agents IA brisent cette hypothèse.

Cette situation rappelle les vulnérabilités de type ZIP slip ou path traversal qui avaient émergé lors de l'adoption massive de nouvelles conventions dans l'écosystème du développement : une fonctionnalité légitime détournée de son usage initial pour créer un vecteur d'exploitation systémique. Dans le cas de GitSpawn, c'est la collecte automatique de contexte — indispensable à l'utilité des agents IA — qui devient le talon d'Achille.

Pour les entreprises, l'enjeu dépasse largement la sécurité des postes individuels des développeurs. Un poste compromis donne généralement accès aux secrets d'authentification, aux tokens d'API, aux clés SSH, et aux accès aux environnements de production. Une compromission via GitSpawn pourrait donc constituer la première étape d'une attaque plus large sur l'infrastructure d'une organisation entière, comparable aux scénarios de supply chain attack observés ces dernières années.

Du point de vue réglementaire, cet incident rappelle aux équipes sécurité que les outils IA intégrés dans les pipelines de développement doivent être soumis aux mêmes processus d'évaluation des risques que n'importe quel autre composant logiciel. Dans le cadre de NIS2, les organisations classées comme opérateurs de services essentiels ont l'obligation de maintenir une cartographie précise de leurs outils de développement et d'évaluer les risques associés à leur chaîne logistique logicielle, ce qui inclut désormais les agents IA de coding.

Ce qu'il faut retenir

• GitSpawn exploite la directive core.fsmonitor de Git pour exécuter du code arbitraire dès l'ouverture d'un dépôt dans un agent IA, sans aucune action requise de l'utilisateur.
• Claude Code, Codex, Cursor, Grok Build, Goose, Hermes Agent et Qwen Code sont tous affectés ; des correctifs sont en cours de développement chez les éditeurs.
• Mesure immédiate : évitez d'ouvrir des dépôts d'origine inconnue dans votre agent IA, et vérifiez que celui-ci dispose des permissions minimales nécessaires sur votre système de fichiers.