Bagaimana Serangan Bekerja

Peneliti mendeskripsikan pola GitHub Agentic Workflow yang rentan sebagai berikut:

• Dipicu oleh event issues.assigned
• Membaca judul dan isi issue
• Memposting komentar menggunakan tool agent seperti add-comment
• Berjalan dengan akses baca ke repositori lain dalam organisasi, termasuk repositori pribadi

Serangan berlangsung dalam empat langkah:

1. Penyerang membuka Issue GitHub yang tampak tidak bersalah di repositori publik milik organisasi yang menggunakan pola Agentic Workflow rentan.
2. Tersembunyi di dalam tubuh issue terdapat perintah berbahasa Inggris biasa yang menginstruksikan agen AI untuk mengambil file dari repositori pribadi.
3. Saat otomatisasi GitHub menetapkan issue tersebut, workflow yang dipicu event menyebabkan agen mengambil data dari repositori yang dapat diaksesnya, termasuk repositori pribadi.
4. Agen memposting konten yang diambil sebagai komentar publik pada issue, berpotensi mengekspos data kepada siapa saja yang dapat melihat issue tersebut.

Kelemahan Arsitektural yang Mendasari

Cacat intinya adalah kegagalan menjaga batas kepercayaan yang ketat antara instruksi tingkat sistem dan data pengguna yang tidak tepercaya dalam jendela konteks (context window) agen AI. Seperti yang dikatakan Sasi Levi dari Noma: "Jendela konteks agen juga merupakan permukaan serangannya. Konten apa pun yang dibaca agen — baik itu issue, pull request, komentar, atau file — dapat dipersenjatai jika agen memperlakukan konten tersebut sebagai input instruksional."

Agen berbasis LLM kesulitan membedakan antara data dan instruksi ketika keduanya muncul dalam konteks atau output tool yang sama. Ini bukan sekadar bug koding konvensional, melainkan risiko struktural dalam workflow AI agen, di mana konten yang tidak tepercaya dapat memengaruhi perilaku agen jika workflow tidak mengisolasi atau membatasinya.

Peneliti secara formal mengkategorikan kelas celah ini sebagai Agentic Workflow Injection (AWI), dengan mengidentifikasi dua pola inti: Prompt-to-Agent (P2A), di mana konten tidak tepercaya mencapai batas prompt agen, dan Prompt-to-Script (P2S), di mana pengaruh penyerang merambat melalui output turunan model ke dalam skrip selanjutnya.

Teknik Melewati Guardrail: Kata Kunci "Additionally"

GitHub memiliki guardrail yang dimaksudkan untuk mencegah eksfiltrasi data, namun peneliti Noma melaporkan bahwa guardrail tersebut dapat dilewati dengan teknik yang sangat sederhana. Menambahkan kata "Additionally" ke dalam instruksi yang disuntikkan dilaporkan menyebabkan model mengubah kerangka (reframe) outputnya daripada menolak permintaan, sehingga kebocoran data dapat berlanjut seolah-olah itu adalah kelanjutan tugas yang sah.

Pendekatan ini konsisten dengan penelitian prompt injection yang lebih luas yang menunjukkan bahwa frase tertentu atau teks yang dikembalikan tool dapat menyebabkan model mengikuti instruksi berbahaya yang seharusnya tidak diikuti. Bypass guardrail ini mencerminkan pola yang terlihat pada insiden sebelumnya, seperti kerentanan GitHub MCP yang diungkap oleh Invariant Labs, di mana sebuah issue berbahaya dapat membajak agen pengguna untuk membocorkan data dari repositori pribadi.

Mitigasi yang Direkomendasikan untuk Organisasi

Berdasarkan temuan GitLost dan panduan keamanan workflow agen yang lebih luas, organisasi yang terdampak harus menerapkan kontrol berikut:

• Terapkan zero-trust untuk input agen — jangan pernah memperlakukan konten yang dikendalikan pengguna sebagai input instruksi tepercaya, dan isolasi data pengguna yang tidak tepercaya dari system prompt inti.
• Terapkan izin least-privilege yang ketat dengan menghapus akses lintas-repositori yang tidak perlu dan membatasi kemampuan agen untuk mengekspos data melalui output publik.
• Gunakan allowlist untuk tool daripada blocklist, dan terapkan gerbang persetujuan manusia sebelum agen melakukan tindakan sensitif seperti memposting komentar yang terlihat secara eksternal atau mengakses repositori sensitif.
• Audit integrasi agen AI dalam workflow CI/CD dan otomatisasi repositori, terutama di mana konteks event GitHub yang tidak tepercaya dimasukkan ke dalam prompt atau input agen.
• Isolasi secara logis input pengguna yang tidak tepercaya dari arahan tingkat sistem, perlakukan teks buatan pengguna sebagai data yang tidak tepercaya, bukan instruksi yang otoritatif.

Organisasi juga harus menerapkan prinsip least privilege pada secret agen dan menerapkan pemantauan keamanan berkelanjutan untuk upaya prompt injection.

Tanggapan GitHub (per 7 Juli)

Menurut Dark Reading dan garis waktu pengungkapan Noma Security:

• Noma mengungkapkan celah secara bertanggung jawab kepada GitHub.
• GitHub memberi tahu Noma bahwa mereka memperbarui dokumentasi yang terkait dengan pola workflow yang rentan, dan peneliti melaporkan bahwa konfigurasi rentan tersebut sudah tidak ada saat mereka memeriksa terakhir kali.
• Pada 7 Juli, GitHub belum mengeluarkan pernyataan publik resmi atau CVE untuk GitLost.
• Kerentanan ini tampaknya telah ditangani sebagian melalui penghapusan atau revisi dokumentasi dan templat workflow, bukan melalui perbaikan keamanan tingkat platform yang terdokumentasi dengan jelas.

Gambaran Lebih Besar: Risiko Sistemik

GitLost bukanlah insiden yang terisolasi. Ini mewakili kelas kerentanan yang berkembang di mana agen AI dengan akses ke data sensitif terpapar pada konten pengguna yang tidak tepercaya. Masalah serupa telah memengaruhi integrasi GitHub MCP, workflow Gemini CLI Google (kerentanan TrustIssues), dan Claude Code GitHub Actions. Benang merahnya adalah agen berbasis LLM tidak memiliki kemampuan bawaan untuk membedakan antara data dan instruksi ketika keduanya muncul di jendela konteks yang sama — sebuah tantangan arsitektural fundamental yang tidak dapat sepenuhnya diselesaikan oleh satu patch platform mana pun.

Bagaimana Serangan Bekerja

Peneliti mendeskripsikan pola GitHub Agentic Workflow yang rentan sebagai berikut:

• Dipicu oleh event issues.assigned
• Membaca judul dan isi issue
• Memposting komentar menggunakan tool agent seperti add-comment
• Berjalan dengan akses baca ke repositori lain dalam organisasi, termasuk repositori pribadi

Serangan berlangsung dalam empat langkah:

1. Penyerang membuka Issue GitHub yang tampak tidak bersalah di repositori publik milik organisasi yang menggunakan pola Agentic Workflow rentan.
2. Tersembunyi di dalam tubuh issue terdapat perintah berbahasa Inggris biasa yang menginstruksikan agen AI untuk mengambil file dari repositori pribadi.
3. Saat otomatisasi GitHub menetapkan issue tersebut, workflow yang dipicu event menyebabkan agen mengambil data dari repositori yang dapat diaksesnya, termasuk repositori pribadi.
4. Agen memposting konten yang diambil sebagai komentar publik pada issue, berpotensi mengekspos data kepada siapa saja yang dapat melihat issue tersebut.

Kelemahan Arsitektural yang Mendasari

Cacat intinya adalah kegagalan menjaga batas kepercayaan yang ketat antara instruksi tingkat sistem dan data pengguna yang tidak tepercaya dalam jendela konteks (context window) agen AI. Seperti yang dikatakan Sasi Levi dari Noma: "Jendela konteks agen juga merupakan permukaan serangannya. Konten apa pun yang dibaca agen — baik itu issue, pull request, komentar, atau file — dapat dipersenjatai jika agen memperlakukan konten tersebut sebagai input instruksional."

Agen berbasis LLM kesulitan membedakan antara data dan instruksi ketika keduanya muncul dalam konteks atau output tool yang sama. Ini bukan sekadar bug koding konvensional, melainkan risiko struktural dalam workflow AI agen, di mana konten yang tidak tepercaya dapat memengaruhi perilaku agen jika workflow tidak mengisolasi atau membatasinya.

Peneliti secara formal mengkategorikan kelas celah ini sebagai Agentic Workflow Injection (AWI), dengan mengidentifikasi dua pola inti: Prompt-to-Agent (P2A), di mana konten tidak tepercaya mencapai batas prompt agen, dan Prompt-to-Script (P2S), di mana pengaruh penyerang merambat melalui output turunan model ke dalam skrip selanjutnya.

Teknik Melewati Guardrail: Kata Kunci "Additionally"

GitHub memiliki guardrail yang dimaksudkan untuk mencegah eksfiltrasi data, namun peneliti Noma melaporkan bahwa guardrail tersebut dapat dilewati dengan teknik yang sangat sederhana. Menambahkan kata "Additionally" ke dalam instruksi yang disuntikkan dilaporkan menyebabkan model mengubah kerangka (reframe) outputnya daripada menolak permintaan, sehingga kebocoran data dapat berlanjut seolah-olah itu adalah kelanjutan tugas yang sah.

Pendekatan ini konsisten dengan penelitian prompt injection yang lebih luas yang menunjukkan bahwa frase tertentu atau teks yang dikembalikan tool dapat menyebabkan model mengikuti instruksi berbahaya yang seharusnya tidak diikuti. Bypass guardrail ini mencerminkan pola yang terlihat pada insiden sebelumnya, seperti kerentanan GitHub MCP yang diungkap oleh Invariant Labs, di mana sebuah issue berbahaya dapat membajak agen pengguna untuk membocorkan data dari repositori pribadi.

Mitigasi yang Direkomendasikan untuk Organisasi

Berdasarkan temuan GitLost dan panduan keamanan workflow agen yang lebih luas, organisasi yang terdampak harus menerapkan kontrol berikut:

• Terapkan zero-trust untuk input agen — jangan pernah memperlakukan konten yang dikendalikan pengguna sebagai input instruksi tepercaya, dan isolasi data pengguna yang tidak tepercaya dari system prompt inti.
• Terapkan izin least-privilege yang ketat dengan menghapus akses lintas-repositori yang tidak perlu dan membatasi kemampuan agen untuk mengekspos data melalui output publik.
• Gunakan allowlist untuk tool daripada blocklist, dan terapkan gerbang persetujuan manusia sebelum agen melakukan tindakan sensitif seperti memposting komentar yang terlihat secara eksternal atau mengakses repositori sensitif.
• Audit integrasi agen AI dalam workflow CI/CD dan otomatisasi repositori, terutama di mana konteks event GitHub yang tidak tepercaya dimasukkan ke dalam prompt atau input agen.
• Isolasi secara logis input pengguna yang tidak tepercaya dari arahan tingkat sistem, perlakukan teks buatan pengguna sebagai data yang tidak tepercaya, bukan instruksi yang otoritatif.

Organisasi juga harus menerapkan prinsip least privilege pada secret agen dan menerapkan pemantauan keamanan berkelanjutan untuk upaya prompt injection.

Tanggapan GitHub (per 7 Juli)

Menurut Dark Reading dan garis waktu pengungkapan Noma Security:

• Noma mengungkapkan celah secara bertanggung jawab kepada GitHub.
• GitHub memberi tahu Noma bahwa mereka memperbarui dokumentasi yang terkait dengan pola workflow yang rentan, dan peneliti melaporkan bahwa konfigurasi rentan tersebut sudah tidak ada saat mereka memeriksa terakhir kali.
• Pada 7 Juli, GitHub belum mengeluarkan pernyataan publik resmi atau CVE untuk GitLost.
• Kerentanan ini tampaknya telah ditangani sebagian melalui penghapusan atau revisi dokumentasi dan templat workflow, bukan melalui perbaikan keamanan tingkat platform yang terdokumentasi dengan jelas.

Gambaran Lebih Besar: Risiko Sistemik

GitLost bukanlah insiden yang terisolasi. Ini mewakili kelas kerentanan yang berkembang di mana agen AI dengan akses ke data sensitif terpapar pada konten pengguna yang tidak tepercaya. Masalah serupa telah memengaruhi integrasi GitHub MCP, workflow Gemini CLI Google (kerentanan TrustIssues), dan Claude Code GitHub Actions. Benang merahnya adalah agen berbasis LLM tidak memiliki kemampuan bawaan untuk membedakan antara data dan instruksi ketika keduanya muncul di jendela konteks yang sama — sebuah tantangan arsitektural fundamental yang tidak dapat sepenuhnya diselesaikan oleh satu patch platform mana pun.