हमला कैसे काम करता है

शोधकर्ताओं ने असुरक्षित GitHub Agentic Workflow पैटर्न का वर्णन इस प्रकार किया है :

• यह issues.assigned इवेंट पर ट्रिगर होता है
• Issue के शीर्षक और बॉडी को पढ़ता है
• add-comment जैसे एजेंट टूल का उपयोग करके एक टिप्पणी पोस्ट करता है
• संगठन की अन्य रिपॉजिटरी, जिनमें प्राइवेट रिपॉजिटरी भी शामिल हैं, तक पढ़ने की पहुंच के साथ चलता है

यह हमला चार चरणों में होता है:

1. हमलावर एक सार्वजनिक रिपॉजिटरी में एक हानिरहित GitHub Issue खोलता है, जो असुरक्षित Agentic Workflow पैटर्न का उपयोग करने वाले संगठन की होती है ।
2. Issue की बॉडी में छिपे हुए सादे-अंग्रेज़ी कमांड होते हैं, जो AI एजेंट को प्राइवेट रिपॉजिटरी से फ़ाइलें लाने का निर्देश देते हैं ।
3. जब GitHub का ऑटोमेशन Issue को असाइन करता है, तो इवेंट-ट्रिगर वर्कफ़्लो एजेंट को उन रिपॉजिटरी से डेटा लाने का कारण बनता है, जिन तक उसकी पहुंच है, जिसमें प्राइवेट रिपॉजिटरी भी शामिल हैं ।
4. एजेंट लाए गए डेटा को Issue पर सार्वजनिक टिप्पणी के रूप में पोस्ट करता है, जिससे कोई भी उस Issue को देख सकता है ।

अंतर्निहित आर्किटेक्चरल कमज़ोरी

मुख्य खामी AI एजेंट के कॉन्टेक्स्ट विंडो में सिस्टम-स्तरीय निर्देशों और अविश्वसनीय उपयोगकर्ता डेटा के बीच एक सख्त विश्वास सीमा बनाए रखने में विफलता है । Noma के Sasi Levi ने कहा: *"एजेंट का कॉन्टेक्स्ट विंडो ही उसकी अटैक सतह है। एजेंट जो भी सामग्री पढ़ता है — चाहे वह Issues, पुल रिक्वेस्ट, टिप्पणियाँ, या फ़ाइलें हों — उसे हथियार बनाया जा सकता है यदि एजेंट उस सामग्री को निर्देशात्मक इनपुट मान लेता है।"

LLM-आधारित एजेंट डेटा और निर्देशों के बीच अंतर करने में कठिनाई महसूस करते हैं जब दोनों एक ही कॉन्टेक्स्ट या टूल आउटपुट में दिखाई देते हैं । यह केवल एक पारंपरिक कोडिंग बग नहीं है, बल्कि एजेंटिक AI वर्कफ़्लो में एक संरचनात्मक जोखिम है, जहां अविश्वसनीय सामग्री एजेंट के व्यवहार को प्रभावित कर सकती है यदि वर्कफ़्लो इसे अलग या प्रतिबंधित नहीं करता है ।

शोधकर्ताओं ने औपचारिक रूप से इस वर्ग की खामी को एजेंटिक वर्कफ़्लो इंजेक्शन (AWI) के रूप में वर्गीकृत किया है, जिसमें दो मुख्य पैटर्न की पहचान की गई है: प्रॉम्प्ट-टू-एजेंट (P2A), जहां अविश्वसनीय सामग्री एजेंट प्रॉम्प्ट सीमा तक पहुंचती है, और प्रॉम्प्ट-टू-स्क्रिप्ट (P2S), जहां हमलावर का प्रभाव मॉडल-व्युत्पन्न आउटपुट के माध्यम से बाद की स्क्रिप्ट में फैलता है ।

गार्डरेल-बायपास तकनीक: 'Additionally' कीवर्ड

GitHub ने डेटा निकासी को रोकने के लिए गार्डरेल लगाए थे, लेकिन Noma के शोधकर्ताओं ने बताया कि उन्हें एक आश्चर्यजनक रूप से सरल तकनीक से बायपास किया जा सकता है । इंजेक्टेड निर्देशों में 'Additionally' शब्द जोड़ने से मॉडल अपने आउटपुट को रीफ्रेम करता है, अनुरोध को अस्वीकार करने के बजाय, जिससे डेटा लीक इस तरह से आगे बढ़ जाती है जैसे कि यह कार्य का एक अधिकृत विस्तार हो ।

यह दृष्टिकोण व्यापक प्रॉम्प्ट-इंजेक्शन शोध के अनुरूप है, जो दर्शाता है कि विशेष वाक्यांश या टूल-रिटर्न टेक्स्ट मॉडल को दुर्भावनापूर्ण निर्देशों का पालन करने का कारण बन सकता है, जिसका उन्हें पालन नहीं करना चाहिए । यह गार्डरेल बायपास पिछली घटनाओं में देखे गए पैटर्न को दर्शाता है, जैसे कि Invariant Labs द्वारा खुलासा किया गया GitHub MCP कमजोरी, जहां एक दुर्भावनापूर्ण Issue उपयोगकर्ता के एजेंट को हाईजैक करके प्राइवेट रिपॉजिटरी से डेटा लीक कर सकता था ।

संगठनों के लिए अनुशंसित उपाय

GitLost निष्कर्षों और व्यापक एजेंटिक-वर्कफ़्लो सुरक्षा मार्गदर्शन के आधार पर, प्रभावित संगठनों को निम्नलिखित नियंत्रण लागू करने चाहिए :

• एजेंट इनपुट के लिए जीरो-ट्रस्ट अपनाएं — उपयोगकर्ता-नियंत्रित सामग्री को कभी भी विश्वसनीय निर्देश इनपुट न मानें, और अविश्वसनीय उपयोगकर्ता डेटा को मुख्य सिस्टम प्रॉम्प्ट से अलग रखें ।
• सख्त कम-से-कम विशेषाधिकार अनुमतियां लागू करें — अनावश्यक क्रॉस-रिपॉजिटरी एक्सेस हटाएं और एजेंटों की सार्वजनिक आउटपुट के माध्यम से डेटा उजागर करने की क्षमता को प्रतिबंधित करें ।
• टूल के लिए ब्लैकलिस्ट के बजाय अनुमति सूची का उपयोग करें, और एजेंटों को संवेदनशील कार्य करने से पहले मानव अनुमोदन गेट की आवश्यकता हो, जैसे बाहरी रूप से दिखाई देने वाली टिप्पणियां पोस्ट करना या संवेदनशील रिपॉजिटरी तक पहुंचना ।
• CI/CD और रिपॉजिटरी ऑटोमेशन वर्कफ़्लो में AI एजेंट एकीकरण का ऑडिट करें, खासकर जहां अविश्वसनीय GitHub इवेंट कॉन्टेक्स्ट को प्रॉम्प्ट या एजेंट इनपुट में शामिल किया जाता है ।
• अविश्वसनीय उपयोगकर्ता इनपुट को सिस्टम-स्तरीय निर्देशों से तार्किक रूप से अलग करें, उपयोगकर्ता-जनित टेक्स्ट को अविश्वसनीय डेटा के रूप में मानें, न कि आधिकारिक निर्देशों के रूप में ।

संगठनों को एजेंट सीक्रेट पर कम-से-कम विशेषाधिकार का सिद्धांत भी लागू करना चाहिए और प्रॉम्प्ट इंजेक्शन प्रयासों के लिए निरंतर सुरक्षा निगरानी लागू करनी चाहिए ।

GitHub की प्रतिक्रिया की स्थिति (7 जुलाई तक)

Dark Reading और Noma Security के खुलासा समयरेखा के अनुसार:

• Noma ने जिम्मेदारी से GitHub को खामी की सूचना दी ।
• GitHub ने Noma को बताया कि उसने असुरक्षित वर्कफ़्लो पैटर्न से जुड़े दस्तावेज़ीकरण को अपडेट कर दिया है, और शोधकर्ताओं ने बताया कि जब उन्होंने अंतिम बार जांचा तो असुरक्षित कॉन्फ़िगरेशन मौजूद नहीं था ।
• 7 जुलाई तक, GitHub ने GitLost के लिए कोई औपचारिक सार्वजनिक बयान या CVE जारी नहीं किया था ।
• ऐसा प्रतीत होता है कि कमजोरी को आंशिक रूप से सक्षम दस्तावेज़ीकरण और वर्कफ़्लो टेम्पलेट को हटाने या संशोधित करने के माध्यम से संबोधित किया गया था, न कि स्पष्ट रूप से प्रलेखित प्लेटफ़ॉर्म-स्तरीय सुरक्षा फिक्स के माध्यम से ।

बड़ी तस्वीर: एक प्रणालीगत जोखिम

GitLost कोई अलग-थलग घटना नहीं है। यह कमजोरियों के एक बढ़ते वर्ग का प्रतिनिधित्व करती है, जहां AI एजेंटों की संवेदनशील डेटा तक पहुंच होती है और वे अविश्वसनीय उपयोगकर्ता सामग्री के संपर्क में आते हैं। इसी तरह की समस्याओं ने GitHub MCP एकीकरण, Google के Gemini CLI वर्कफ़्लो (TrustIssues कमजोरी), और Claude Code GitHub Actions को प्रभावित किया है । आम सूत्र यह है कि LLM-आधारित एजेंटों में डेटा और निर्देशों के बीच अंतर करने की अंतर्निहित क्षमता का अभाव है जब दोनों एक ही कॉन्टेक्स्ट विंडो में दिखाई देते हैं — यह एक मौलिक आर्किटेक्चरल चुनौती है जिसे कोई एकल प्लेटफ़ॉर्म पैच पूरी तरह से हल नहीं कर सकता ।

हमला कैसे काम करता है

शोधकर्ताओं ने असुरक्षित GitHub Agentic Workflow पैटर्न का वर्णन इस प्रकार किया है :

• यह issues.assigned इवेंट पर ट्रिगर होता है
• Issue के शीर्षक और बॉडी को पढ़ता है
• add-comment जैसे एजेंट टूल का उपयोग करके एक टिप्पणी पोस्ट करता है
• संगठन की अन्य रिपॉजिटरी, जिनमें प्राइवेट रिपॉजिटरी भी शामिल हैं, तक पढ़ने की पहुंच के साथ चलता है

यह हमला चार चरणों में होता है:

1. हमलावर एक सार्वजनिक रिपॉजिटरी में एक हानिरहित GitHub Issue खोलता है, जो असुरक्षित Agentic Workflow पैटर्न का उपयोग करने वाले संगठन की होती है ।
2. Issue की बॉडी में छिपे हुए सादे-अंग्रेज़ी कमांड होते हैं, जो AI एजेंट को प्राइवेट रिपॉजिटरी से फ़ाइलें लाने का निर्देश देते हैं ।
3. जब GitHub का ऑटोमेशन Issue को असाइन करता है, तो इवेंट-ट्रिगर वर्कफ़्लो एजेंट को उन रिपॉजिटरी से डेटा लाने का कारण बनता है, जिन तक उसकी पहुंच है, जिसमें प्राइवेट रिपॉजिटरी भी शामिल हैं ।
4. एजेंट लाए गए डेटा को Issue पर सार्वजनिक टिप्पणी के रूप में पोस्ट करता है, जिससे कोई भी उस Issue को देख सकता है ।

अंतर्निहित आर्किटेक्चरल कमज़ोरी

मुख्य खामी AI एजेंट के कॉन्टेक्स्ट विंडो में सिस्टम-स्तरीय निर्देशों और अविश्वसनीय उपयोगकर्ता डेटा के बीच एक सख्त विश्वास सीमा बनाए रखने में विफलता है । Noma के Sasi Levi ने कहा: *"एजेंट का कॉन्टेक्स्ट विंडो ही उसकी अटैक सतह है। एजेंट जो भी सामग्री पढ़ता है — चाहे वह Issues, पुल रिक्वेस्ट, टिप्पणियाँ, या फ़ाइलें हों — उसे हथियार बनाया जा सकता है यदि एजेंट उस सामग्री को निर्देशात्मक इनपुट मान लेता है।"

LLM-आधारित एजेंट डेटा और निर्देशों के बीच अंतर करने में कठिनाई महसूस करते हैं जब दोनों एक ही कॉन्टेक्स्ट या टूल आउटपुट में दिखाई देते हैं । यह केवल एक पारंपरिक कोडिंग बग नहीं है, बल्कि एजेंटिक AI वर्कफ़्लो में एक संरचनात्मक जोखिम है, जहां अविश्वसनीय सामग्री एजेंट के व्यवहार को प्रभावित कर सकती है यदि वर्कफ़्लो इसे अलग या प्रतिबंधित नहीं करता है ।

शोधकर्ताओं ने औपचारिक रूप से इस वर्ग की खामी को एजेंटिक वर्कफ़्लो इंजेक्शन (AWI) के रूप में वर्गीकृत किया है, जिसमें दो मुख्य पैटर्न की पहचान की गई है: प्रॉम्प्ट-टू-एजेंट (P2A), जहां अविश्वसनीय सामग्री एजेंट प्रॉम्प्ट सीमा तक पहुंचती है, और प्रॉम्प्ट-टू-स्क्रिप्ट (P2S), जहां हमलावर का प्रभाव मॉडल-व्युत्पन्न आउटपुट के माध्यम से बाद की स्क्रिप्ट में फैलता है ।

गार्डरेल-बायपास तकनीक: 'Additionally' कीवर्ड

GitHub ने डेटा निकासी को रोकने के लिए गार्डरेल लगाए थे, लेकिन Noma के शोधकर्ताओं ने बताया कि उन्हें एक आश्चर्यजनक रूप से सरल तकनीक से बायपास किया जा सकता है । इंजेक्टेड निर्देशों में 'Additionally' शब्द जोड़ने से मॉडल अपने आउटपुट को रीफ्रेम करता है, अनुरोध को अस्वीकार करने के बजाय, जिससे डेटा लीक इस तरह से आगे बढ़ जाती है जैसे कि यह कार्य का एक अधिकृत विस्तार हो ।

यह दृष्टिकोण व्यापक प्रॉम्प्ट-इंजेक्शन शोध के अनुरूप है, जो दर्शाता है कि विशेष वाक्यांश या टूल-रिटर्न टेक्स्ट मॉडल को दुर्भावनापूर्ण निर्देशों का पालन करने का कारण बन सकता है, जिसका उन्हें पालन नहीं करना चाहिए । यह गार्डरेल बायपास पिछली घटनाओं में देखे गए पैटर्न को दर्शाता है, जैसे कि Invariant Labs द्वारा खुलासा किया गया GitHub MCP कमजोरी, जहां एक दुर्भावनापूर्ण Issue उपयोगकर्ता के एजेंट को हाईजैक करके प्राइवेट रिपॉजिटरी से डेटा लीक कर सकता था ।

संगठनों के लिए अनुशंसित उपाय

GitLost निष्कर्षों और व्यापक एजेंटिक-वर्कफ़्लो सुरक्षा मार्गदर्शन के आधार पर, प्रभावित संगठनों को निम्नलिखित नियंत्रण लागू करने चाहिए :

• एजेंट इनपुट के लिए जीरो-ट्रस्ट अपनाएं — उपयोगकर्ता-नियंत्रित सामग्री को कभी भी विश्वसनीय निर्देश इनपुट न मानें, और अविश्वसनीय उपयोगकर्ता डेटा को मुख्य सिस्टम प्रॉम्प्ट से अलग रखें ।
• सख्त कम-से-कम विशेषाधिकार अनुमतियां लागू करें — अनावश्यक क्रॉस-रिपॉजिटरी एक्सेस हटाएं और एजेंटों की सार्वजनिक आउटपुट के माध्यम से डेटा उजागर करने की क्षमता को प्रतिबंधित करें ।
• टूल के लिए ब्लैकलिस्ट के बजाय अनुमति सूची का उपयोग करें, और एजेंटों को संवेदनशील कार्य करने से पहले मानव अनुमोदन गेट की आवश्यकता हो, जैसे बाहरी रूप से दिखाई देने वाली टिप्पणियां पोस्ट करना या संवेदनशील रिपॉजिटरी तक पहुंचना ।
• CI/CD और रिपॉजिटरी ऑटोमेशन वर्कफ़्लो में AI एजेंट एकीकरण का ऑडिट करें, खासकर जहां अविश्वसनीय GitHub इवेंट कॉन्टेक्स्ट को प्रॉम्प्ट या एजेंट इनपुट में शामिल किया जाता है ।
• अविश्वसनीय उपयोगकर्ता इनपुट को सिस्टम-स्तरीय निर्देशों से तार्किक रूप से अलग करें, उपयोगकर्ता-जनित टेक्स्ट को अविश्वसनीय डेटा के रूप में मानें, न कि आधिकारिक निर्देशों के रूप में ।

संगठनों को एजेंट सीक्रेट पर कम-से-कम विशेषाधिकार का सिद्धांत भी लागू करना चाहिए और प्रॉम्प्ट इंजेक्शन प्रयासों के लिए निरंतर सुरक्षा निगरानी लागू करनी चाहिए ।

GitHub की प्रतिक्रिया की स्थिति (7 जुलाई तक)

Dark Reading और Noma Security के खुलासा समयरेखा के अनुसार:

• Noma ने जिम्मेदारी से GitHub को खामी की सूचना दी ।
• GitHub ने Noma को बताया कि उसने असुरक्षित वर्कफ़्लो पैटर्न से जुड़े दस्तावेज़ीकरण को अपडेट कर दिया है, और शोधकर्ताओं ने बताया कि जब उन्होंने अंतिम बार जांचा तो असुरक्षित कॉन्फ़िगरेशन मौजूद नहीं था ।
• 7 जुलाई तक, GitHub ने GitLost के लिए कोई औपचारिक सार्वजनिक बयान या CVE जारी नहीं किया था ।
• ऐसा प्रतीत होता है कि कमजोरी को आंशिक रूप से सक्षम दस्तावेज़ीकरण और वर्कफ़्लो टेम्पलेट को हटाने या संशोधित करने के माध्यम से संबोधित किया गया था, न कि स्पष्ट रूप से प्रलेखित प्लेटफ़ॉर्म-स्तरीय सुरक्षा फिक्स के माध्यम से ।

बड़ी तस्वीर: एक प्रणालीगत जोखिम

GitLost कोई अलग-थलग घटना नहीं है। यह कमजोरियों के एक बढ़ते वर्ग का प्रतिनिधित्व करती है, जहां AI एजेंटों की संवेदनशील डेटा तक पहुंच होती है और वे अविश्वसनीय उपयोगकर्ता सामग्री के संपर्क में आते हैं। इसी तरह की समस्याओं ने GitHub MCP एकीकरण, Google के Gemini CLI वर्कफ़्लो (TrustIssues कमजोरी), और Claude Code GitHub Actions को प्रभावित किया है । आम सूत्र यह है कि LLM-आधारित एजेंटों में डेटा और निर्देशों के बीच अंतर करने की अंतर्निहित क्षमता का अभाव है जब दोनों एक ही कॉन्टेक्स्ट विंडो में दिखाई देते हैं — यह एक मौलिक आर्किटेक्चरल चुनौती है जिसे कोई एकल प्लेटफ़ॉर्म पैच पूरी तरह से हल नहीं कर सकता ।