Microsoft a récemment coupé l'accès à plusieurs dizaines de projets open source hébergés sur GitHub après avoir découvert que des pirates avaient apparemment compromis ces dépôts et y avait intégré un logiciel malveillant conçu pour voler les mots de passe. Les projets concernés concernent principalement le cloud Microsoft Azure ainsi qu'un ensemble d'outils destinés aux développeurs, incluant notamment des composants appelés par les utilisateurs lors du recours à des applications de programmation assistée par IA telles que Claude Code, Gemini CLI ou VS Code. Selon la société de sécurité Cloudsmith et la plateforme communautaire d'analyse des logiciels malveillants OpenSourceMalware qui ont été les premières à révéler cette affaire, ce malware est capable de dérober les mots de passe et autres identifiants sensibles des utilisateurs lorsqu'ils ouvrent des composants infectés dans leurs outils de développement pilotés par l'intelligence artificielle. Il n'est pas encore connu combien de personnes ont téléchargé les outils touchés. Ben Hope, porte-parole de Microsoft, a confirmé cet incident auprès de TechCrunch, indiquant que l'entreprise « a temporairement retiré certains dépôts pendant ses enquêtes visant à détecter une éventuelle présence de contenu malveillant ». Certains de ces dépôts ont depuis été remis en ligne après examen, tandis que d'autres restent potentiellement hors ligne. Microsoft a également alerté quelques clients susceptibles d'avoir téléchargé du matériel provenant des dépôts affectés. À ce jour, au moins soixante-dix projets liés à Microsoft sont marqués comme « désactivés » sur GitHub ; leur page d'accueil affiche désormais : « L'accès à ce dépôt a été désactivé par le personnel de GitHub suite à une violation des conditions d'utilisation du service. »