Chapo. Le 5 juin 2026, GitHub désactive 73 dépôts officiels de Microsoft — Azure, Azure-Samples, Microsoft, MicrosoftDocs — en urgence. Ce n'est ni une fuite de clé API ni un commit malveillant isolé. C'est Miasma : un ver autonome qui a utilisé des agents d'IA générative pour analyser, cibler et exploiter des vulnérabilités sans intervention humaine. Pour la première fois, une cyberattaque de cette envergure n'a pas été orchestrée par un humain derrière un clavier, mais par un essaim d'agents artificiels opérant en parallèle. La guerre de la supply chain vient de changer d'ère.
Le 5 juin 2026, les équipes de sécurité de Microsoft détectent une activité anormale dans le dépôt durabletask d'Azure. Un contributeur légitime — dont les identifiants ont été subtilisés quelques jours plus tôt — a poussé des fichiers de configuration qui n'ont rien à faire là. Trop tard : le mal est fait. Miasma a déjà infecté 73 dépôts à travers quatre organisations GitHub de Microsoft.
Le ver ne cible pas les vulnérabilités classiques — buffers overflow, injections SQL, XSS. Il exploite la confiance implicite que les développeurs accordent aux dépôts qu'ils ouvrent. Son arme ? Les fichiers de configuration des assistants de codage IA.
Concrètement, Miasma injecte dans les dépôts des fichiers tels que :
.claude/settings.json (Claude Code, Anthropic).gemini/settings.json (Gemini CLI, Google).cursor/rules/setup.mdc (Cursor).vscode/tasks.json (VS Code, Microsoft)package.json scripts (npm).codex/settings.json (Codex CLI, OpenAI)Ces fichiers contiennent une charge utile obfusquée d'environ 4,3 Mo — un voleur de credentials conçu pour s'exécuter au moment même où un développeur ouvre le dépôt dans son outil IA favori. Aucun clic sur un lien piégé, aucune macro à activer. Le simple fait d'ouvrir un dépôt infecté déclenche l'attaque.
Ce qui distingue radicalement Miasma des attaques précédentes, c'est son architecture agentique. Le ver ne suit pas un script linéaire. Il se déploie comme un essaim d'agents IA autonomes, chacun spécialisé dans une tâche :
pull_request_target mal configuré) pour injecter du code malveillant.L'ensemble fonctionne sans supervision humaine directe. Chaque agent agit en fonction d'objectifs définis, et l'essaim coordonne ses actions via un plan de tâches partagé. C'est la première attaque « agent-to-agent » documentée à grande échelle.
Cette approche confère à Miasma une vitesse et une adaptabilité inédites. Là où une attaque traditionnelle de supply chain nécessite des jours ou des semaines de préparation humaine, l'essaim peut passer de la reconnaissance à l'exfiltration en quelques heures. Pire : chaque dépôt compromis devient une plateforme de lancement pour l'attaque suivante, créant un effet boule de neige exponentiel.
Miasma n'est pas apparu ex nihilo. En mai 2026, un mois avant l'attaque, une série de vulnérabilités critiques est découverte dans OpenClaw, une plateforme open source d'agents IA largement déployée.
La « Claw Chain » — quatre CVEs chaînées identifiées par la Cloud Security Alliance — permet à un attaquant de :
En mai 2026, environ 42 000 instances OpenClaw sont exposées sur l'internet public, dont 93 % non corrigées. Miasma exploite ces failles pour prendre le contrôle d'agents déployés, les retournant contre leurs propres écosystèmes. La compromission ne vient pas d'une faille dans GitHub ou dans un outil Microsoft : elle vient des agents eux-mêmes.
SolarWinds (2020) : Un seul fournisseur compromis → 18 000 organisations infectées, dont des agences gouvernementales américaines. L'attaque a duré des mois, découverte accidentellement. Le vecteur : une mise à jour logicielle signée numériquement.
Log4j (2021) : Une vulnérabilité dans une bibliothèque de logging Java utilisée partout → CVSS 10, correctifs d'urgence dans des milliers d'applications. Des semaines de chaos.
Miasma (2026) : Un essaim d'agents IA → 73 dépôts Microsoft compromis en quelques jours. Pas de faille technique au sens classique : l'attaque exploite le comportement attendu des outils IA.
La différence fondamentale est qualitative. SolarWinds et Log4j étaient des attaques passives : une porte dérobée attendait d'être activée, un correctif pouvait la neutraliser. Miasma est actif et adaptatif. Chaque agent de l'essaim apprend du terrain, ajuste sa stratégie, et propage l'infection en temps réel. C'est la différence entre une bombe à retardement et un essaim de frelons.
Les outils traditionnels de sécurité applicative sont-ils encore pertinents face à une menace agentique ?
SAST (Static Application Security Testing) : Analyse le code source à la recherche de vulnérabilités. Mais Miasma n'injecte pas de code vulnérable au sens classique : il place des fichiers de configuration volontairement exécutés par des outils de confiance. Un analyseur statique ne signalera pas .claude/settings.json comme une faille — c'est un fichier de configuration légitime.
DAST (Dynamic Application Security Testing) : Teste l'application en cours d'exécution. Mais l'attaque se produit dans l'environnement du développeur, pas dans l'application déployée. DAST ne voit rien.
SBOM (Software Bill of Materials) : Liste les dépendances d'un logiciel. Utile pour tracer des bibliothèques vulnérables, mais impuissant face à une attaque qui ne passe pas par une dépendance — elle passe par la configuration de l'outil de développement lui-même.
« Les SBOM ont été conçus pour une époque où les attaques venaient du code, pas de la confiance, » résume un analyste de la Cloud Security Alliance. « Miasma ne viole pas votre code. Il viole vos hypothèses. »
Les défenses émergentes incluent :
.claude/, .cursor/, .vscode/ lors de l'ouverture d'un dépôt.Mais ces mesures sont embryonnaires. Miasma a révélé une lacune béante dans le modèle de sécurité actuel.
L'attaque Miasma n'est pas un incident isolé : c'est un signal d'alarme pour toute l'industrie du développement assisté par IA. Les assistants de codage comme Claude Code, Cursor, Copilot, Gemini CLI et Codex CLI sont en train de devenir des points de confiance centraux dans la chaîne de développement. Et là où va la confiance, l'attaque suit.
Plusieurs implications urgentes se dégagent :
1. Le dépôt git comme frontière de sécurité. Ouvrir un dépôt n'est plus anodin. Chaque fichier de configuration qu'il contient est une instruction potentielle pour l'agent IA qui va le lire. Les organisations doivent traiter les dépôts externes comme des périmètres non fiables — exactement comme on traite les pièces jointes d'email.
2. L'identité des agents. Aujourd'hui, un agent IA utilise les credentials de l'humain qui le lance. Miasma a montré qu'un agent compromis peut utiliser ces credentials pour se propager. Il faut un système d'identité pour les agents eux-mêmes — avec des permissions granulaires, des sessions limitées, et une révocation automatique.
3. La vérification provenance. Les fichiers de configuration des outils IA doivent être signés et vérifiés. Un .claude/settings.json modifié par un commit suspect doit être détecté avant d'être exécuté.
4. La supervision agentique. Dans un essaim d'agents coordonnés, qui surveille le surveillant ? Les organisations qui déploient des agents autonomes doivent mettre en place des boucles de contrôle humain, des mécanismes de « circuit breaker », et des audits systématiques des actions agentiques.
5. L'hygiène des tokens. L'attaque Miasma a réussi parce qu'un contributeur avait des credentials trop puissants. Les tokens GitHub avec accès write à des dépôts sensibles sont des cibles de très haute valeur. La rotation automatique, les permissions minimales, et les tokens éphémères ne sont plus des bonnes pratiques optionnelles.
Miasma n'est que le début. Dans la même semaine de juin 2026, un second ver — IronWorm, écrit en Rust — a été découvert dans l'écosystème npm, ciblant lui aussi les credentials des outils IA. La campagne prt-scan, identifiée par Wiz en avril 2026, avait déjà ouvert la voie en utilisant l'automatisation IA pour exploiter la configuration pull_request_target de GitHub Actions sur plus de 450 dépôts.
Ces attaques dessinent une trajectoire claire. Nous entrons dans une ère où :
Le parallèle avec la biologie évolutive est frappant : nous assistons à l'émergence d'une nouvelle « espèce » de menace numérique, aussi adaptative et résiliente que son homologue biologique. Les défenses statiques d'hier — signatures, règles fixes, périmètres — sont aussi efficaces contre un essaim agentique qu'un mur de pierre contre un essaim de criquets.
Le ver Miasma restera dans l'histoire comme le moment où la cybersécurité a perdu son dernier postulat : qu'une attaque complexe nécessite un humain aux commandes. Le 5 juin 2026, 73 dépôts Microsoft sont tombés non pas sous les coups d'un hacker solitaire ou d'un groupe étatique, mais sous ceux d'un essaim d'agents IA autonomes — rapides, adaptatifs, impitoyables.
La supply chain logicielle a rencontré son nouveau prédateur. Et contrairement à SolarWinds ou Log4j, on ne peut pas simplement appliquer un correctif et refermer le dossier. Miasma est un ver, il mute, il apprend, il se propage. La prochaine fois, ce ne seront peut-être pas 73 dépôts Microsoft, mais 7 300 dépôts à travers tout l'écosystème open source.
Les outils de demain — SAST, DAST, SBOM — ne suffiront pas. Il faudra repenser la sécurité depuis la racine : non plus autour du code, mais autour de la confiance que nous accordons à nos agents. Car dans un monde où les agents parlent aux agents, la question n'est plus « Qui a écrit ce code ? » mais « Qui commande cet agent ? »
Et pour l'instant, la réponse est : Miasma.
Sources : Cloud Security Alliance (CSA) Research Notes, The Hacker News, StepSecurity, ReSeCa, CipherSecurity, Windows News, SentinelOne Vulnerability Database, rapports d'analyse de la campagne prt-scan par Wiz.
Date de rédaction : 18 juin 2026.