Expediente camoleak-copilot-chatInyección de promptsEstados Unidos
CamoLeak: comentarios ocultos en PR hacen que GitHub Copilot Chat filtre secretos de repos privados
Legit Security halló una falla CVSS 9.6 en la que comentarios markdown invisibles en pull requests dirigían a Copilot Chat a leer repositorios privados y exfiltrar secretos carácter por carácter a través del proxy de imágenes Camo de GitHub.
CríticaAtaque a la IAEstado: ParcheadoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 9 oct 2025
- Ubicación
- Estados Unidos
- Objetivo
- GitHub Copilot Chat
- Gravedad
- Crítica
- Provocado por
- Omer Mayraz (Legit Security)
- Tipo de actor
- Investigadores de seguridad
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Legit Security halló una falla CVSS 9.6 en la que comentarios markdown invisibles en pull requests dirigían a Copilot Chat a leer repositorios privados y exfiltrar secretos carácter por carácter a través del proxy de imágenes Camo de GitHub.
Impacto: La prueba de concepto exfiltró claves de AWS, tokens y la descripción de un zero-day no divulgado desde un repositorio privado; el ataque también podía impulsar paquetes maliciosos mediante sugerencias de Copilot
Quién lo provocó
Actor: Omer Mayraz (Legit Security)
Atribución: Divulgación responsable a través de HackerOne en junio de 2025
Motivo: Investigación de seguridad
Cómo ocurrió
Vector de ataque: Inyección de prompts en comentarios invisibles de pull requests o issues; Copilot actúa con los permisos del lector y codifica los datos robados como una secuencia de URL de imágenes Camo pregeneradas que eluden la CSP
Causa raíz: Copilot Chat consumía el contenido de comentarios ocultos como instrucciones y podía renderizar imágenes a través del proxy confiable Camo, creando un canal de exfiltración encubierto
Cronología
- Legit Security reporta la falla a GitHub vía HackerOne
- GitHub desactiva el renderizado de imágenes en Copilot Chat para cerrar el canal Camo
- Divulgación pública de CamoLeak
Respuesta
GitHub desactivó todo el renderizado de imágenes en Copilot Chat y bloqueó el uso de Camo para filtrar contenido de usuarios
Estado actual: Parcheado
Fuentes (pestaña nueva)
- Legit Security legitsecurity.com
- The Register theregister.com
- eSecurity Planet esecurityplanet.com
Citar este expediente
CamoLeak: comentarios ocultos en PR hacen que GitHub Copilot Chat filtre secretos de repos privados. AI Threat Watch, expediente camoleak-copilot-chat, 9 oct 2025. https://aithreat.io/es/cases/camoleak-copilot-chat/
Enlace permanente: https://aithreat.io/es/cases/camoleak-copilot-chat/