# GitHub détecte 24 failles Android avec son agent IA > GitHub affirme que son agent IA a trouvé 24 vulnérabilités dans des applications Android, dont OsmAnd et Wikipedia. Type : Actualité IA · Catégorie : Outils · Publié le 2026-09-29 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/github-detecte-24-failles-android-avec-son-agent-ia Tags : cybersécurité, android, github, agent ia, audit, agents-ia, open-source --- ## En résumé - GitHub a identifié 24 vulnérabilités dans des applications Android avec un agent IA. - Kevin Stubbings a créé des flux d’audit personnalisés appelés taskflows. - Les taskflows sont ouverts et gratuits pour auditer n’importe quel dépôt. **Le signal :** L’agent IA de GitHub a trouvé 24 vulnérabilités Android, mais Kevin Stubbings exige une revue humaine de chaque résultat. **GitHub annonce** 24 [vulnérabilités](/signal-ia/actu/a-black-hat-lia-cristallise-les-craintes-cyber) trouvées dans des applications Android par son agent d’intelligence artificielle. L’information a été publiée le 29 septembre 2026. Kevin Stubbings a construit des flux d’audit personnalisés appelés taskflows pour guider ces analyses. Ces flux automatisent des étapes d’examen dans les dépôts concernés. GitHub présente cette approche comme un moyen d’examiner des applications mobiles avec un agent spécialisé. Les résultats couvrent notamment OsmAnd et l’application Android de Wikipédia. Les taskflows sont ouverts et gratuits à exécuter contre n’importe quel dépôt. Cette disponibilité place l’outil dans une logique d’audit reproductible. Elle permet aussi de lancer ces workflows sur des projets différents, sans restriction indiquée sur leur nombre ou leur taille. **Deux applications exposées** OsmAnd figure parmi les applications examinées par l’agent. L’application de navigation dépasse 10 millions de téléchargements sur le Play Store. Un problème concernait une activité exportée de l’application. Cette activité acceptait des paramètres intent qui auraient dû rester restreints. L’application Android de Wikipédia présentait une autre faiblesse. Son gestionnaire de liens profonds contenait une [vulnérabilité](/signal-ia/actu/github-face-a-gitlost-la-faille-qui-bouscule-sa-securite) liée à la vérification d’un nom d’hôte. Ces deux exemples montrent des catégories distinctes de contrôles mobiles. Le premier concerne l’exposition d’une activité et de ses paramètres. Le second concerne la validation d’une destination dans un gestionnaire de liens. Les détails sont présentés par [GitHub](https://github.blog/security/how-we-found-24-android-vulnerabilities-using-our-open-source-ai-security-agent/) et [Help Net Security](https://www.helpnetsecurity.com/2026/09/29/github-ai-android-app-vulnerabilities/). ## GitHub automatise les audits Android **Des flux personnalisés** Kevin Stubbings a nommé taskflows les workflows d’audit pilotés par l’intelligence artificielle. Ces flux ont été construits pour analyser des dépôts et rechercher des vulnérabilités dans des applications Android. Leur code est ouvert et leur exécution est gratuite contre n’importe quel dépôt. Cette combinaison facilite leur réutilisation par des équipes souhaitant examiner leurs propres projets. Elle ne transforme toutefois pas automatiquement chaque résultat en vulnérabilité exploitable. Stubbings affirme que l’agent trouvait mieux les bugs qu’il n’en évaluait la gravité. Cette distinction sépare la détection technique de l’analyse du risque. Elle concerne directement les équipes qui interprètent les sorties produites par un audit automatisé. Les taskflows restent donc le mécanisme central présenté dans cette expérimentation. **La revue humaine** Kevin Stubbings affirme que chaque résultat doit être examiné par une personne connaissant les applications mobiles avant toute suite. Cette exigence accompagne les 24 vulnérabilités identifiées par l’agent de GitHub. Elle rappelle que l’outil produit des signalements, tandis qu’un spécialiste vérifie leur portée. L’exemple d’OsmAnd illustre cette étape avec une activité exportée et des paramètres intent restreints. L’exemple de Wikipédia porte sur la vérification d’un nom d’hôte dans un gestionnaire de liens profonds. Ces cas nécessitent une lecture du fonctionnement applicatif. La revue humaine devient ainsi une étape explicitement requise par le concepteur des taskflows. Elle encadre l’usage d’un agent qui intervient sur des dépôts réels. ## Stubbings encadre les résultats **Un outil réutilisable** Les taskflows peuvent être exécutés gratuitement contre n’importe quel dépôt, selon les faits communiqués par GitHub. Leur code ouvert permet d’examiner directement la méthode employée pour les audits. L’agent a trouvé 24 vulnérabilités dans des applications Android. Parmi les applications citées, OsmAnd compte plus de 10 millions de téléchargements sur le Play Store. Son activité exportée acceptait des intent extras qui auraient dû rester restreints. L’application Android de Wikipédia avait un défaut dans la vérification du nom d’hôte de son gestionnaire de liens profonds. Ces exemples donnent un contenu concret aux résultats annoncés. Ils associent la détection automatisée à des composants précis des applications mobiles. La validation finale reste attribuée à un réviseur humain compétent.