GitHub Copilot CLI y la inyección de contexto criptográfico: cómo un texto cifrado en una web filtra tus secretos (y por qué GitHub dice que no es vulnerabilidad)

Adversa AI divulgó el 6 de octubre de 2026 que GitHub Copilot CLI puede ser inducido, con instrucciones cifradas escondidas en una página web, a leer archivos locales como .env.prod y enviarlos a un servidor del atacante; GitHub validó el comportamiento pero lo clasificó como "no es una vulnerabilidad del producto".

La técnica: Cryptographic Context Injection (CCI)

CCI oculta instrucciones maliciosas dentro de un bloque cifrado (AES-256-GCM) incrustado en una página web normal. Los clasificadores de contenido que revisan texto plano no ven nada sospechoso. El agente, en cambio, descifra el bloque dentro de su propio entorno de ejecución y trata el resultado como salida confiable, no como contenido externo no confiable. Adversa ya había demostrado la misma idea contra Grok; esta vez la aplicó a un agente de código en terminal.

La cadena de ataque, paso a paso

En la demostración reportada por CyberPress, el CLI transmitió el contenido de un .env.prod a un endpoint del atacante en 28 segundos, y también pudo alcanzar archivos fuera del directorio de trabajo.

La "lotería" del modelo y el modo autopilot

El ataque requiere que el CLI corra en modo autopilot (aprobaciones automáticas) y que lea una página comprometida. Según The Register, el éxito depende del modelo que procese la petición: el modelo mai-code-1.1-flash de Microsoft ejecutó la cadena completa en el 50% de los intentos, mientras que los modelos GPT-5.6 de OpenAI rechazaron el payload. Con selección "Auto" de modelo, el usuario no sabe cuál atiende su sesión, así que su exposición es impredecible.

La respuesta de GitHub y el debate

Adversa reportó el caso al programa de recompensas de GitHub el 17 de septiembre. GitHub validó el comportamiento pero respondió que "requiere que un usuario dirija intencionalmente a Copilot CLI a obtener contenido no confiable o controlado por un atacante y confirme que quiere activar la acción, y por lo tanto no es una vulnerabilidad del producto". No se asignó CVE y, según CyberPress, la cadena seguía reproduciéndose el 1 de octubre. Adversa discrepa.

Mitigaciones que sí dependen de ti

• No uses modo autopilot con agentes que leen internet en máquinas que tengan secretos de producción.
• Mantén los .env de producción fuera de estaciones de desarrollo; usa gestores de secretos con credenciales de corta vida.
• Restringe las conexiones salientes del agente (lista de destinos permitidos).
• Conserva trazas de llamadas a herramientas con argumentos resueltos y correlaciona "abrir web + leer archivo + conexión saliente inesperada".
• Fija el modelo que usa el agente en lugar de dejar "Auto" en equipos críticos.