GitLost-haavoittuvuus: Yksi GitHub-issue vuotaa yksityiset repositoriot tekoälyagentin prompt injectionin avulla

Hyökkäys etenee neljässä vaiheessa:

1. Hyökkääjä avaa viattomalta näyttävän GitHub-issuen organisaation julkisessa repositoriossa, joka käyttää haavoittuvaa Agentic Workflow -mallia.
2. Issuen sisältöön on kätketty selkokielisiä komentoja, jotka ohjeistavat tekoälyagentin hakemaan tiedostoja yksityisistä repositorioista.
3. Kun GitHubin automaatio määrittää issuen, tapahtumalaukaistu työnkulku saa agentin hakemaan tietoja repositorioista, joihin sillä on pääsy, mukaan lukien yksityiset repositoriot.
4. Agentti julkaisee haetut tiedot julkisena kommenttina issueen, mikä saattaa altistaa tiedot kaikille, jotka voivat nähdä issuen.

Taustalla oleva arkkitehtoninen heikkous

Keskeinen ongelma on kyvyttömyys ylläpitää tiukkaa luottamusrajaa järjestelmätason ohjeiden ja luottamattoman käyttäjädatun välillä tekoälyagentin konteksti-ikkunassa. Kuten Noman Sasi Levi totesi: "Agenttien konteksti-ikkuna on myös sen hyökkäyspinta. Kaikki sisältö, jonka agentti lukee – olipa se issueita, pull requesteja, kommentteja tai tiedostoja – voidaan aseistaa, jos agentti käsittelee sitä ohjeellisena syötteenä."

LLM-pohjaiset agentit eivät kykene erottamaan dataa ja ohjeita toisistaan, kun molemmat esiintyvät samassa kontekstissa tai työkalun tulosteessa. Kyseessä ei ole pelkkä perinteinen koodausvirhe, vaan rakenteellinen riski agenttivoimaisissa tekoälytyönkuluissa, joissa luottamaton sisältö voi vaikuttaa agentin käyttäytymiseen, jos työnkulku ei eristä tai rajaa sitä.

Tutkijat ovat luokitelleet tämänkaltaiset haavoittuvuudet Agentic Workflow Injection (AWI) -nimikkeellä ja tunnistaneet kaksi keskeistä mallia: Prompt-to-Agent (P2A), jossa luottamaton sisältö pääsee agentin ohjerajaan, ja Prompt-to-Script (P2S), jossa hyökkääjän vaikutus leviää mallin tuottamien tulosteiden kautta myöhempiin skripteihin.

Suojatoimenpiteiden kiertotekniikka: "Additionally"-avainsana

GitHub oli asentanut suojatoimia tietovuodon estämiseksi, mutta Noman tutkijat raportoivat, että ne voitaisiin kiertää yllättävän yksinkertaisella tekniikalla. Sanan "Additionally lisääminen injektoituihin ohjeisiin sai mallin muotoilemaan tulosteensa uudelleen kieltäytymisen sijaan, jolloin tietovuoto eteni ikään kuin se olisi valtuutettu jatko tehtävälle.

Tämä lähestymistapa on linjassa laajemman prompt injection -tutkimuksen kanssa, joka osoittaa, että tietyt ilmaukset tai työkalujen palauttama teksti voivat saada mallit noudattamaan haitallisia ohjeita, joita niiden ei pitäisi noudattaa. Suojatoimien kiertäminen heijastaa aiempien tapausten, kuten Invariant Labsin paljastaman GitHub MCP -haavoittuvuuden, kuvioita, joissa haitallinen issue pystyi kaappaamaan käyttäjän agentin ja vuotamaan tietoja yksityisistä repositorioista.

Suositellut toimenpiteet organisaatioille

GitLost-löydösten ja laajemman agenttivoimaisten työnkulkujen tietoturvaohjeistuksen perusteella organisaatioiden tulisi toteuttaa seuraavat kontrollit:

• Ota käyttöön nollaluottamus agenttien syötteisiin – älä koskaan käsittele käyttäjän hallitsemaa sisältöä luotettavana ohjesyötteenä, ja eristä luottamaton käyttäjädata ydinsysteemiohjeista.
• Sovella tiukkoja vähimpien oikeuksien periaatteita poistamalla tarpeettomat repositorioiden väliset pääsyoikeudet ja rajoittamalla agenttien kykyä paljastaa dataa julkisten tulosteiden kautta.
• Käytä työkalujen sallittujen listoja kiellettyjen listojen sijaan ja vaadi ihmisen hyväksyntäportteja ennen kuin agentit suorittavat arkaluonteisia toimintoja, kuten ulkoisesti näkyvien kommenttien lisäämistä tai arkaluonteisiin repositorioihin pääsyä.
• Auditoi tekoälyagentti-integraatiot CI/CD- ja repositorioautomaatiotyönkuluissa, erityisesti jos luottamaton GitHub-tapahtumakonteksti sisällytetään ohjeisiin tai agenttisyötteisiin.
• Eristä loogisesti luottamaton käyttäjän syöte järjestelmätason direktiiveistä, käsittelemällä käyttäjän tuottamaa tekstiä luottamattomana datana eikä auktoritatiivisina ohjeina.

Organisaatioiden tulisi myös soveltaa vähimpien oikeuksien periaatetta agenttien salaisuuksiin ja ottaa käyttöön jatkuva tietoturvavalvonta prompt injection -yritysten havaitsemiseksi.

GitHubin vastaus (tilanne 7. heinäkuuta)

Dark Readingin ja Noma Securityn julkaisuaikataulun mukaan:

• Noma ilmoitti virheestä GitHubille vastuullisesti.
• GitHub kertoi Nomalle päivittäneensä dokumentaatiota liittyen haavoittuvaan työnkulkumalliin, ja tutkijat raportoivat, että haavoittuvaa konfiguraatiota ei enää ollut olemassa heidän viimeisimmällä tarkistuskerralleen.
• Heinäkuun 7. päivään mennessä GitHub ei ollut antanut virallista julkista lausuntoa tai CVEtä GitLostille.
• Haavoittuvuus näyttää tulleen osittain korjatuksi poistamalla tai tarkistamalla mahdollistava dokumentaatio ja työnkulkupohja, eikä selkeästi dokumentoidun alustatason tietoturvakorjauksen kautta.

Laajempi kuva: systeeminen riski

GitLost ei ole yksittäinen tapaus. Se edustaa kasvavaa haavoittuvuusluokkaa, jossa tekoälyagentit, joilla on pääsy arkaluonteiseen tietoon, altistuvat luottamukselliselle käyttäjäsisällölle. Samanlaisia ongelmia on havaittu GitHub MCP -integraatioissa, Googlen Gemini CLI -työnkuluissa (TrustIssues-haavoittuvuus) ja Claude Code GitHub Actionsissa. Yhteinen tekijä on, että LLM-pohjaisilta agenteilta puuttuu luontainen kyky erottaa dataa ja ohjeita toisistaan, kun molemmat esiintyvät samassa konteksti-ikkunassa – perustavanlaatuinen arkkitehtoninen haaste, jota yksikään yksittäinen alustakorjaus ei voi täysin ratkaista.