Un ver informatique baptisé « Miasma » a contraint GitHub à désactiver plus de 70 dépôts appartenant à Microsoft, le 5 juin 2026. Sa particularité : il ne se déclenche pas à l'installation d'un paquet, mais au moment où un développeur ouvre le dépôt piégé dans un agent d'intelligence artificielle comme Claude Code, Gemini CLI, Cursor ou VS Code. Une mutation préoccupante des attaques contre la chaîne d'approvisionnement logicielle.
73 dépôts neutralisés en moins de deux minutes
L'attaque a visé les organisations GitHub de Microsoft. Selon l'analyse de StepSecurity, relayée par The Next Web, un attaquant a compromis le compte d'un contributeur, puis poussé du code malveillant dans le dépôt Azure/durabletask, un framework utilisé en production par plusieurs équipes Microsoft.
La réaction a été automatique et brutale : GitHub a désactivé 73 dépôts répartis sur quatre organisations — Azure, Azure-Samples, Microsoft et MicrosoftDocs — en l'espace de 105 secondes. Le dégât le plus visible a concerné Azure/functions-action, l'action GitHub officielle pour déployer des fonctions Azure : du jour au lendemain, tous les workflows référençant Azure/functions-action@v1 ont cessé de se résoudre, provoquant des pannes d'intégration et de déploiement continus (CI/CD) à l'échelle mondiale.
Quand ouvrir un dépôt suffit à se faire piller
C'est le mode opératoire qui rend Miasma redoutable. Plutôt que d'exploiter les hooks d'installation de paquets, le ver cible directement les éditeurs de code et leurs assistants IA. Le commit malveillant a ajouté cinq fichiers de configuration conçus pour déclencher une exécution automatique de code dans autant d'outils :
.claude/settings.jsonpour Claude Code ;.gemini/settings.jsonpour Gemini CLI ;.cursor/rules/setup.mdcpour Cursor ;.vscode/tasks.jsonpour VS Code ;- le script de test npm, déclenché au lancement des tests.
Comme le résume l'article de Next, « cloner le dépôt ne présente aucun risque ; l'ouvrir, en revanche, n'est pas sans danger ». À l'ouverture, l'agent IA — censé assister le développeur — exécute à son insu un runner de 4,3 Mo écrit avec l'environnement Bun.
Un voleur d'identifiants qui se réplique tout seul
La charge utile a un objectif clair : moissonner les secrets de l'environnement de développement. Le ver collecte les identifiants AWS, Azure, GCP, Kubernetes, npm et GitHub présents sur la machine de la victime.
C'est là qu'il devient ver, et non simple cheval de Troie : armé de ces jetons volés, il s'auto-réplique en s'inscrivant lui-même dans tous les dépôts où la victime dispose d'un droit d'écriture, se propageant de façon autonome à travers l'écosystème. À ce jour, la campagne Miasma aurait infecté plus de 113 dépôts répartis sur des dizaines de comptes.
Une signature attribuée à TeamPCP
Les chercheurs relient cette opération au groupe TeamPCP, via un domaine de commande et de contrôle (C2) secondaire — t.m-kosche[.]com — déjà associé à son infrastructure. Le même compte compromis avait servi le 19 mai lors d'une attaque contre PyPI, signe d'identifiants conservés ou d'un compte recompromis par la propagation du ver.
Le palmarès de TeamPCP est éloquent : l'écosystème TanStack (42 paquets npm, faille CVE-2026-45321 notée 9,6 sur l'échelle CVSS), Mistral AI, l'écosystème @antv (639 versions corrompues réparties sur 323 paquets), le périmètre @redhat-cloud-services (32 paquets), ainsi que LiteLLM, Telnyx et Checkmarx. Quelques jours plus tôt, le 2 juin, Microsoft avait déjà révélé une attaque visant la chaîne npm de Red Hat.
Une vague d'attaques recensées ces derniers mois
Miasma n'est pas un cas isolé. Depuis le printemps 2026, plusieurs incidents mêlant intelligence artificielle et sécurité se sont enchaînés — tantôt en détournant des assistants IA, tantôt en visant les écosystèmes logiciels sur lesquels ils reposent.
La réponse de Microsoft et les parades
Microsoft a confirmé l'incident par la voix de son porte-parole Ben Hope : « Nous avons temporairement supprimé certains dépôts pendant que nous enquêtions. » L'éditeur indique avoir contacté « un petit nombre » de clients potentiellement affectés.
Pour les équipes de sécurité, l'épisode impose de nouveaux réflexes. StepSecurity et les autres analystes recommandent notamment d'inspecter les fichiers de configuration suspects avant d'ouvrir un dépôt dans un éditeur, d'imposer une protection de branche exigeant une revue de chaque pull request, d'épingler les actions GitHub à un identifiant de commit précis (SHA) plutôt qu'à une étiquette mutable, et de privilégier la publication de confiance par OIDC plutôt que des jetons à longue durée de vie.
L'angle mort des assistants de code
Au-delà du cas Microsoft, Miasma illustre un déplacement du front. Les agents d'IA générative — dont Claude Code, la déclinaison « codeur » de la gamme Anthropic récemment enrichie par le modèle Fable 5 — deviennent un maillon de confiance dans le flux de travail des développeurs. Or, en exécutant automatiquement des instructions de configuration présentes dans un projet, ils offrent une nouvelle surface d'attaque.
La promesse de ces outils — automatiser et accélérer le développement — se retourne ici contre leurs utilisateurs : l'assistant censé écrire le code devient le vecteur qui exfiltre les clés. À mesure que ces agents se généralisent, la question de leur isolement et de la validation explicite des actions qu'ils déclenchent devient un enjeu de sécurité de premier plan.