GitLost : l'agent IA de GitHub lâche vos dépôts privés

• GitLost n'est pas une prouesse de pirate, c'est la démonstration qu'un agent qui lit tout finit par tout donner.
• Le vrai coupable n'est pas GitHub, mais le fantasme de l'agent autonome à qui l'on confie les clés du coffre.
• On applaudit les chercheurs qui montrent le trou : ils font gratuitement le travail que le marketing enterre.

Un format court, publié le 8 juillet, et l'agent de GitHub qui déballe un dépôt privé comme on vide un sac de courses.

Des chercheurs affirment avoir piégé début juillet 2026 l'agent d'intelligence artificielle de GitHub, baptisant leur tour GitLost, pour lui faire livrer des dépôts de code privés. La démonstration a été relayée par la chaîne Morningcoffeebyte, puis débattue sur les forums techniques. Le procédé fait sourire jaune. On n'a pas cassé la serrure. On a convaincu le gardien, avec des mots, d'ouvrir lui-même la porte.

GitLost, l'agent de GitHub qui déballe vos dépôts privés

Un nom de chanson de rupture, GitLost, et un pitch limpide : des chercheurs disent avoir convaincu l'agent de code de GitHub de recracher des dépôts privés. La démonstration a circulé début juillet, portée par une vidéo courte de la chaîne Morningcoffeebyte, puis reprise sur les forums techniques. Rien n'a été forcé. On a parlé à la machine, poliment. Le principe de ce genre d'attaque tient en une phrase : glisser un ordre caché dans un texte anodin, un commentaire, un ticket, un fichier, et attendre que l'assistant obéisse sans distinguer la consigne du décor. Les chatbots font ça depuis le berceau. On appelle ça, poliment encore, une injection d'instructions. En clair : l'agent ne sait pas dire non à un texte, parce qu'il ignore qu'un texte peut mentir. GitHub a promis un collègue infatigable. Il a livré un portier qui ouvre à quiconque prononce la formule. Les failles de sécurité de cette famille, on les connaît par cœur, et pourtant on continue de tendre les clés.

Le problème n'est pas le bug, c'est le cahier des charges

Répétons-le, parce que personne n'écoute : ce n'est pas un accident de parcours. Un modèle de langage lit du texte et produit du texte. Il ne fait que ça. Lui donner la lecture de votre code privé, la permission d'agir seul et la confiance d'un golden retriever, c'est fabriquer la faille avant même le premier utilisateur. On a bâti des accès temporaires pour ces agents, on a inventé des rustines, on a même essayé de marquer discrètement leurs requêtes pour les tracer. Tout ça pour un outil vendu comme autonome, dont l'autonomie est précisément la porte d'entrée. Prenez le même modèle, changez trois réglages, et vous obtenez des comportements différents, imprévisibles, jamais garantis. Les vendeurs adorent les benchmarks qui montent. Ils parlent moins du jour où l'assistant, tout sourire, offre le contenu du coffre à un inconnu. On nous joue le duel d'applis, la course au meilleur agent, pendant que la question de fond reste orpheline : comment fait-on confiance à un logiciel qui croit tout ce qu'il lit ? Réponse honnête : on ne peut pas. Alors on limite les dégâts, on cloisonne, on prie. GitLost n'invente rien. Il rappelle que l'agent qui lit tout et croit tout peut être retourné par n'importe qui sachant écrire deux phrases convaincantes.

Le mot 'autonome' vend bien, la facture arrive après

Le vocabulaire fait la moitié du travail. On dit « agent autonome » et l'acheteur voit un employé modèle. On oublie que ce nom, comme tant d'autres, vend du vent. Les chiffres, eux, sont têtus : l'IA coûte plus cher que l'ingénieur qu'elle devait remplacer, et parfois elle ouvre en prime la porte du coffre. Même Zuckerberg reconnaît que ses propres agents traînent la patte. La guerre que personne n'a vue se joue là, entre promesse marketing et réalité du terrain. Pendant ce temps, certains États s'inquiètent pour de bon : la Chine veut brider l'accès à ses meilleurs modèles, la Norvège a quasi interdit l'IA à l'école primaire. On peut ricaner. On peut aussi remarquer que ceux qui connaissent la mécanique sont les premiers à poser des garde-fous. GitLost, dans ce décor, n'est pas une anomalie. C'est un avertissement de plus, gratuit, offert par des chercheurs qui auraient pu se taire et revendre le tour à quelqu'un de moins bavard.

Ce qu'on garde de GitLost

Alors on fait quoi ? On arrête de croire qu'un ordinateur qui ne travaille plus pour vous vous obéit encore. On donne à ces agents le strict minimum, jamais les clés du royaume. Les petits modèles qui tournent en local, cloisonnés, valent parfois mieux qu'un majordome branché sur tout. On arrête aussi de traiter chaque alerte comme une menace à étouffer, et on remercie les gens qui montrent le trou avant les malfaisants. Personne ne sait prédire l'avenir de ces outils, pas même ceux qui les vendent. Un principe tient quand même : un logiciel qui lit tout et croit tout n'est pas un employé, c'est un risque avec une interface polie. GitLost lui a juste trouvé un joli nom. La prochaine démonstration en aura un autre, et on rejouera la même scène, l'air surpris.