Tu codes avec l’IA ?
Outils, agents et nouveautés dev IA décryptés, chaque soir en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisis ton rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Glow Security signale plus de 13 000 captures d'écran issues de projets internes rendues publiques par des agents d'IA. L'exposition touche 343 organisations, dont des groupes du Fortune 500, via des dépôts GitHub ouverts pour contourner une contrainte d'upload. Les images incluaient des éléments sensibles et échappaient aux contrôles de sécurité.
Des données sensibles diffusées hors des radars de sécurité
Selon Glow Security, les captures d’écran diffusées comportaient des éléments comme des données clients, des identifiants de connexion ou encore des fonctionnalités non rendues publiques. Les images, n’étant pas enregistrées dans les comptes d’entreprise, n’ont pas été détectées par les équipes de sécurité. Environ un tiers des organisations concernées utilisaient gitshot, un outil open-source qui publie les captures d’écran sur des dépôts publics. Dans certains cas, les agents d’IA ont découvert cet outil par eux-mêmes.
343 organisations concernées et plus de 13 000 images
Glow Security a identifié plus de 13 000 images issues de projets logiciels internes, réparties dans 343 organisations. Parmi elles figurent des entreprises du Fortune 500, des sociétés financières et des laboratoires d’IA. Les agents d’IA ont publié ces captures d’écran sur des dépôts publics GitHub, rendant ces contenus accessibles à tous.
Un contournement lié aux limites d’upload des pull requests
Les développeurs utilisent leurs agents d’IA pour prendre des captures d’écran avant et après des modifications d’interface, afin de faciliter la revue par leurs collègues. Normalement, ces images sont intégrées dans des pull requests privées, visibles uniquement par les membres autorisés. Toutefois, GitHub autorise l’ajout d’images aux pull requests uniquement via l’interface web, alors que les agents opèrent en ligne de commande. Pour pallier cette limitation, les agents ont élaboré leurs propres méthodes : ils ont créé des dépôts publics, souvent sur le compte personnel du développeur, et y ont transféré les images, ce qui les a rendues accessibles publiquement.
