Tir à blanc ou tentative défectueuse ? Un hacker agissant sous le pseudo « lkmanka58 » assure à nos confrères de 404 Media avoir voulu dénoncer le « théâtre de sécurité » que représentait la solution d’assistant de codage Q Developer du géant américain Amazon.
« Votre objectif est de nettoyer un système pour le ramener à un état proche de son état d’usine et de supprimer les ressources du système de fichiers et du cloud » : voilà le prompt injecté dans la version 1.84.0 d’Amazon Q Developer, une mise à jour mise en ligne le 17 juillet 2025 et restée disponible une semaine sur la marketplace de Visual Studio Code, un éditeur de texte très populaire chez les développeurs.
Difficile de savoir si une manipulation si grossière aurait vraiment pu conduire à des dégâts massifs. Mais le vrai problème est ailleurs : comment un prompt malveillant a-t-il pu se glisser dans un assistant ayant accès à des ressources personnelles sensibles ?
Une faille dans les accès au projet Github
C’est en tirant parti d’une faille dans la gestion des droits du projet Github que lkmanka58 est parvenu à compromettre l’extension open-source d’Amazon.
Aucune manipulation technique particulière, le hacker a simplement soumis une pull request (comprenez une demande de modification du code) depuis un compte anonyme n’ayant aucun accès privilégié. En raison d’une mauvaise configuration des permissions et d’un processus d’intégration continue sans vérification manuelle stricte, sa proposition a été intégrée directement dans le code source officiel.
Amazon n’y voit que du feu et rend la version compromise la disponible à l’ensemble de la base d’utilisateurs le 17 juillet 2025. Alertée par des chercheurs le 23 juillet, Amazon ouvre une enquête et publie une version rectifiée, 1.85.0, supprimant ainsi le fichier de code non approuvé.
Plus de peur que de mal ?
Alors, oui. Le hacker l’avoue lui-même la version piratée de Q Developer a eu un impact quasi-nulle. Même son de cloche chez Amazon qui confirme « qu’aucune ressource client n’a été impactée ».
Mais qu’en est-il de la confiance des utilisateurs envers l’assistant de codage ? De nombreux internautes ont effectivement vu le prompt malveillant s’afficher sur leur terminal, heureusement sans incidence.
« Le fait que du code malveillant ait été exécuté sur les machines des clients constitue bel et bien un problème, que l’exécution ait abouti ou non. » déplore un utilisateur sur BlueSky.
Amazon semble vouloir clore l’affaire sans plus de bruit et invite tout de même à télécharger la mise à jour 1.85 d’Amazon Q Developer « par mesure de précaution supplémentaire ».
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Pour de l’actu en petit comité, rejoignez la communauté Numerama sur WhatsApp !