Encrypted instructions trick Copilot CLI into spilling developer secrets
GitHub Copilot CLI can be made to read sensitive files from a developer’s machine and send their contents to an attacker from a single web page. Security researchers at Adversa AI said the new attack technique, dubbed Cryptographic Context Injection (CCI), hides malicious instructions inside encrypted content.
GitHub Copilot CLI can be made to read sensitive files from a developer’s machine and send their contents to an attacker from a single web page. Security researchers at Adversa AI said the new attack technique, dubbed Cryptographic Context Injection (CCI), hides malicious instructions inside encrypted content.
In a demonstration, Adversa researchers got Copilot to read a “.env.prod” file containing secrets and send its contents to an attacker-controlled endpoint. “Full chain: 28 seconds, no confirmation, and no point in the transcript that names the destination host or indicates that file contents left the machine,” the researcher said in a blog post.
According to Adversa, the attack is not a universal one-click compromise as it requires Copilot CLI to be running in autopilot mode and a model willing to execute the decrypted instructions. GitHub has validated the finding but declined to treat it as a vulnerability, saying the user had explicitly asked Copilot to fetch attacker-controlled content while giving full permissions to act autonomously.
“They noted they may make the functionality stricter in the future but had nothing to announce, and ruled the report ineligible for the GitHub bug bounty program,” Adversa said. The researchers disputed that assessment, arguing that it does not explain why Copilot rejects the same instructions when presented in plaintext but accepts them after they have been encrypted and decrypted within its execution environment.
GitHub did not immediately respond to CSO’s request for comment.
An attack could begin with a user running Copilot CLI and asking it to fetch a URL, the researchers explained. The page would contain encrypted instructions that the agent would then be asked to decrypt using two candidate keys.
In context
- Topic: Desarrollo con IA — Copilotos y agentes en el ciclo de desarrollo de software.
- Source: InfoWorld
- Published: 07/10/2026
Continue reading at the original source →
Excerpt published automatically by the site radar. The full text belongs to its publisher and is linked above.
Por qué importa
Lo que está cambiando en ingeniería no es la velocidad de tipeo, es la relación entre el que produce y el que responde por el resultado. Un asistente puede generar en minutos algo que nadie del equipo entiende del todo, y eso tiene un costo que no aparece en ninguna métrica de productividad.
Yo lo miro desde la operación, no desde la demo. La pregunta no es si el asistente escribe una función correcta, sino si el equipo puede sostener seis meses después lo que produjo, con otra gente, sin el contexto original. Esa es la prueba real y casi nunca aparece en los anuncios.
Lo que suele salir mal
El problema aparece cuando alguien acepta código que no entiende del todo pero que pasa las pruebas. Funciona, entra a producción, y seis meses después hay que modificarlo. Ahí se descubre que nadie en el equipo puede explicar por qué está escrito así, y el cambio chico se convierte en una reescritura.
Qué mirar
- El efecto sobre la gente que recién entra al equipo, que es donde más rápido se pierde el criterio.
- Si baja el tiempo total hasta producción o solo el tiempo de escribir, que no es lo mismo.
- Cómo queda la revisión de código: si el asistente produce más, alguien tiene que leer más.
Cómo leo esta entrada
Yo lo trataría como un cambio de proceso, no de herramienta. El asistente cambia quién hace qué dentro del equipo, y eso hay que conversarlo con la gente antes, no descubrirlo en la retrospectiva cuando alguien ya se sintió reemplazado.
La noticia original está publicada en otro idioma; acá se cita el extracto tal como lo entrega el medio y el comentario se escribe en español.
Comentarios
Todavía no hay comentarios. El primero puede ser el tuyo.
¿Lo estás viviendo en tu equipo?
Abrí el chat y contame cómo lo están manejando. Me interesa comparar notas.
