L’agent Taskflow du GitHub Security Lab identifie 24 failles Android, mais nécessite une révision humaine

Le GitHub Security Lab annonce que son agent open source GitHub Security Lab Taskflow Agent a contribué à identifier et signaler 24 vulnérabilités dans des applications Android. Ce résultat illustre à la fois l'efficacité des audits ciblés assistés par l'intelligence artificielle et la nécessité de conserver une supervision humaine pour évaluer la réelle exploitabilité des failles.

Des flux de travail ciblés

Le système structure des invites et des étapes de recherche sous forme de flux de travail réutilisables. Pour les audits Android, GitHub a intégré des processus capables d'isoler les points d'entrée spécifiques aux mobiles et de classer les catégories de risques probables pour chaque composant. L'exécution répétée associe des vérifications strictes pour des problèmes connus à des instructions plus larges afin de déceler des connexions complexes au sein du modèle de menace d'une application.

Cette approche s'adresse aux projets combinant divers types de code, en séparant les surfaces d'attaque mobiles des éléments web ou de bureau indépendants. Les exemples fournis par GitHub incluent des vulnérabilités liées à des activités Android exportées, des intents, des liens profonds et des composants WebView.

Deux cas divulgués

L'un des cas signalés concerne l'application Android d'OsmAnd. Selon GitHub, n'importe quelle application pouvait transmettre des données d'intent manipulées vers une activité exportée afin de modifier silencieusement des paramètres, notamment les sources de tuiles. Cette faille exposait les tuiles de cartes et les itinéraires chargés par un utilisateur à un serveur contrôlé par un tiers, sans modification apparente de l'interface.

Un autre scénario a touché l'application Wikipedia pour Android. D'après GitHub, une faiblesse dans la gestion des liens profonds permettait de faire passer un site malveillant pour une page officielle de l'encyclopédie au sein même de l'application. Associée à un problème de domaine de cookies, cette chaîne d'attaques pouvait exposer des jetons persistants et compromettre des comptes sur l'ensemble des projets Wikimedia.

Limites et accès

Ces flux de travail sont disponibles en open source, mais leur exécution requiert une licence GitHub Copilot ainsi que des requêtes de modèles d'abonnement. GitHub précise qu'un audit peut générer de nombreux appels d'outils, consommer un volume important de jetons et nécessiter une à deux heures sur un dépôt de taille moyenne. Les résultats sont consultables via une visionneuse SQLite à la fin du traitement.

GitHub relève également la présence fréquente de faux positifs et d'estimations de gravité inexactes. Les modèles peuvent ignorer des facteurs atténuants, mal interpréter l'interaction des couches de stockage ou signaler des anomalies exigeant des conditions irréalistes. Les chercheurs en sécurité doivent donc valider chaque découverte à l'aide de connaissances contextuelles, de débogage et de tests de preuve de concept, plutôt que de considérer chaque résultat automatisé comme une vulnérabilité avérée.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: How we found 24 Android vulnerabilities using our open source AI security agent