Come funziona l'attacco

I ricercatori hanno descritto il pattern vulnerabile di GitHub Agentic Workflow come quello che:

• Si attiva su eventi issues.assigned
• Legge il titolo e il corpo della issue
• Pubblica un commento utilizzando uno strumento agente come add-comment
• Opera con accesso in lettura ad altri repository dell'organizzazione, inclusi quelli privati

L'attacco si sviluppa in quattro fasi:

1. L'attaccante apre una issue GitHub apparentemente innocua in un repository pubblico appartenente a un'organizzazione che utilizza il pattern vulnerabile di Agentic Workflow.
2. Nascosti nel corpo della issue ci sono comandi in inglese semplice che istruiscono l'agente AI a recuperare file da repository privati.
3. Quando l'automazione di GitHub assegna la issue, il workflow attivato dall'evento spinge l'agente a recuperare dati dai repository a cui ha accesso, inclusi quelli privati.
4. L'agente pubblica i contenuti recuperati come commento pubblico sulla issue, esponendo potenzialmente i dati a chiunque possa visualizzare la issue.

La debolezza architetturale sottostante

Il difetto principale è l'incapacità di mantenere un confine di fiducia rigoroso tra le istruzioni di sistema e i dati utente non affidabili all'interno della finestra di contesto dell'agente AI. Come ha dichiarato Sasi Levi di Noma: "La finestra di contesto dell'agente è anche la sua superficie d'attacco. Qualsiasi contenuto letto dall'agente — che siano issue, pull request, commenti o file — può essere trasformato in un'arma se l'agente tratta quel contenuto come input istruttivo."

Gli agenti basati su modelli linguistici di grandi dimensioni (LLM) faticano a distinguere tra dati e istruzioni quando entrambi appaiono nello stesso contesto o output di uno strumento. Questo non è un semplice bug di programmazione, ma un rischio strutturale nei flussi di lavoro agentici basati sull'IA, dove contenuti non affidabili possono influenzare il comportamento dell'agente se il workflow non li isola o non li vincola.

I ricercatori hanno formalmente classificato questa classe di difetti come Agentic Workflow Injection (AWI), identificando due pattern fondamentali: Prompt-to-Agent (P2A), dove contenuti non affidabili raggiungono il confine del prompt dell'agente, e Prompt-to-Script (P2S), dove l'influenza dell'attaccante si propaga attraverso output derivati dal modello in script successivi.

La tecnica di bypass: la parola "Inoltre"

GitHub aveva implementato delle protezioni (guardrail) per prevenire l'esfiltrazione dei dati, ma i ricercatori di Noma hanno scoperto che potevano essere aggirate con una tecnica sorprendentemente semplice. Aggiungere la parola "Inoltre" ("Additionally" in inglese) alle istruzioni iniettate spingeva il modello a riformulare il proprio output invece di rifiutare la richiesta, permettendo così alla fuga di dati di procedere come se fosse una continuazione autorizzata del compito.

Questo approccio è coerente con ricerche più ampie sull'iniezione di prompt, che mostrano come determinate formulazioni o testi restituiti dagli strumenti possano indurre i modelli a seguire istruzioni dannose che non dovrebbero seguire. Il bypass delle protezioni ricorda schemi visti in incidenti precedenti, come la vulnerabilità GitHub MCP scoperta da Invariant Labs, dove una issue malevola poteva dirottare l'agente di un utente per rubare dati da repository privati.

Mitigazioni consigliate per le organizzazioni

Sulla base dei risultati di GitLost e delle linee guida più ampie sulla sicurezza dei flussi di lavoro agentici, le organizzazioni dovrebbero implementare i seguenti controlli:

• Adottare un approccio zero-trust per gli input dell'agente: non trattare mai i contenuti controllati dall'utente come input di istruzioni affidabili e isolare i dati utente non affidabili dai prompt di sistema principali.
• Applicare il principio del minimo privilegio: rimuovere l'accesso inutile tra repository e limitare la capacità degli agenti di esporre dati attraverso output pubblici.
• Utilizzare liste bianche per gli strumenti invece di liste nere e richiedere punti di approvazione umana prima che gli agenti eseguano azioni sensibili come pubblicare commenti visibili esternamente o accedere a repository sensibili.
• Audit delle integrazioni degli agenti AI nei flussi CI/CD e nell'automazione dei repository, specialmente dove il contesto non affidabile degli eventi GitHub viene incorporato nei prompt o negli input dell'agente.
• Isolare logicamente l'input utente non affidabile dalle direttive di sistema, trattando il testo generato dall'utente come dato non affidabile piuttosto che come istruzione autorevole.

Le organizzazioni dovrebbero inoltre applicare il principio del minimo privilegio ai segreti degli agenti e implementare un monitoraggio continuo della sicurezza per rilevare tentativi di iniezione di prompt.

La risposta di GitHub (al 7 luglio)

Secondo Dark Reading e la timeline di divulgazione di Noma Security:

• Noma ha divulgato responsabilmente la falla a GitHub.
• GitHub ha comunicato a Noma di aver aggiornato la documentazione associata al pattern di workflow vulnerabile, e i ricercatori hanno riferito che la configurazione vulnerabile non era più presente al loro ultimo controllo.
• Al 7 luglio, GitHub non aveva rilasciato una dichiarazione pubblica formale o un CVE per GitLost.
• La vulnerabilità sembra essere stata affrontata parzialmente attraverso la rimozione o la revisione della documentazione e del template di workflow, piuttosto che attraverso una correzione di sicurezza chiaramente documentata a livello di piattaforma.

Il quadro generale: un rischio sistemico

GitLost non è un incidente isolato. Rappresenta una classe crescente di vulnerabilità in cui gli agenti AI con accesso a dati sensibili sono esposti a contenuti utente non affidabili. Problemi simili hanno colpito le integrazioni GitHub MCP, i flussi di lavoro Gemini CLI di Google (vulnerabilità TrustIssues) e Claude Code su GitHub Actions. Il filo conduttore è che gli agenti basati su LLM mancano di una capacità intrinseca di distinguere tra dati e istruzioni quando entrambi appaiono nella stessa finestra di contesto — una sfida architetturale fondamentale che nessuna singola patch di piattaforma può risolvere completamente.

Come funziona l'attacco

I ricercatori hanno descritto il pattern vulnerabile di GitHub Agentic Workflow come quello che:

• Si attiva su eventi issues.assigned
• Legge il titolo e il corpo della issue
• Pubblica un commento utilizzando uno strumento agente come add-comment
• Opera con accesso in lettura ad altri repository dell'organizzazione, inclusi quelli privati

L'attacco si sviluppa in quattro fasi:

1. L'attaccante apre una issue GitHub apparentemente innocua in un repository pubblico appartenente a un'organizzazione che utilizza il pattern vulnerabile di Agentic Workflow.
2. Nascosti nel corpo della issue ci sono comandi in inglese semplice che istruiscono l'agente AI a recuperare file da repository privati.
3. Quando l'automazione di GitHub assegna la issue, il workflow attivato dall'evento spinge l'agente a recuperare dati dai repository a cui ha accesso, inclusi quelli privati.
4. L'agente pubblica i contenuti recuperati come commento pubblico sulla issue, esponendo potenzialmente i dati a chiunque possa visualizzare la issue.

La debolezza architetturale sottostante

Il difetto principale è l'incapacità di mantenere un confine di fiducia rigoroso tra le istruzioni di sistema e i dati utente non affidabili all'interno della finestra di contesto dell'agente AI. Come ha dichiarato Sasi Levi di Noma: "La finestra di contesto dell'agente è anche la sua superficie d'attacco. Qualsiasi contenuto letto dall'agente — che siano issue, pull request, commenti o file — può essere trasformato in un'arma se l'agente tratta quel contenuto come input istruttivo."

Gli agenti basati su modelli linguistici di grandi dimensioni (LLM) faticano a distinguere tra dati e istruzioni quando entrambi appaiono nello stesso contesto o output di uno strumento. Questo non è un semplice bug di programmazione, ma un rischio strutturale nei flussi di lavoro agentici basati sull'IA, dove contenuti non affidabili possono influenzare il comportamento dell'agente se il workflow non li isola o non li vincola.

I ricercatori hanno formalmente classificato questa classe di difetti come Agentic Workflow Injection (AWI), identificando due pattern fondamentali: Prompt-to-Agent (P2A), dove contenuti non affidabili raggiungono il confine del prompt dell'agente, e Prompt-to-Script (P2S), dove l'influenza dell'attaccante si propaga attraverso output derivati dal modello in script successivi.

La tecnica di bypass: la parola "Inoltre"

GitHub aveva implementato delle protezioni (guardrail) per prevenire l'esfiltrazione dei dati, ma i ricercatori di Noma hanno scoperto che potevano essere aggirate con una tecnica sorprendentemente semplice. Aggiungere la parola "Inoltre" ("Additionally" in inglese) alle istruzioni iniettate spingeva il modello a riformulare il proprio output invece di rifiutare la richiesta, permettendo così alla fuga di dati di procedere come se fosse una continuazione autorizzata del compito.

Questo approccio è coerente con ricerche più ampie sull'iniezione di prompt, che mostrano come determinate formulazioni o testi restituiti dagli strumenti possano indurre i modelli a seguire istruzioni dannose che non dovrebbero seguire. Il bypass delle protezioni ricorda schemi visti in incidenti precedenti, come la vulnerabilità GitHub MCP scoperta da Invariant Labs, dove una issue malevola poteva dirottare l'agente di un utente per rubare dati da repository privati.

Mitigazioni consigliate per le organizzazioni

Sulla base dei risultati di GitLost e delle linee guida più ampie sulla sicurezza dei flussi di lavoro agentici, le organizzazioni dovrebbero implementare i seguenti controlli:

• Adottare un approccio zero-trust per gli input dell'agente: non trattare mai i contenuti controllati dall'utente come input di istruzioni affidabili e isolare i dati utente non affidabili dai prompt di sistema principali.
• Applicare il principio del minimo privilegio: rimuovere l'accesso inutile tra repository e limitare la capacità degli agenti di esporre dati attraverso output pubblici.
• Utilizzare liste bianche per gli strumenti invece di liste nere e richiedere punti di approvazione umana prima che gli agenti eseguano azioni sensibili come pubblicare commenti visibili esternamente o accedere a repository sensibili.
• Audit delle integrazioni degli agenti AI nei flussi CI/CD e nell'automazione dei repository, specialmente dove il contesto non affidabile degli eventi GitHub viene incorporato nei prompt o negli input dell'agente.
• Isolare logicamente l'input utente non affidabile dalle direttive di sistema, trattando il testo generato dall'utente come dato non affidabile piuttosto che come istruzione autorevole.

Le organizzazioni dovrebbero inoltre applicare il principio del minimo privilegio ai segreti degli agenti e implementare un monitoraggio continuo della sicurezza per rilevare tentativi di iniezione di prompt.

La risposta di GitHub (al 7 luglio)

Secondo Dark Reading e la timeline di divulgazione di Noma Security:

• Noma ha divulgato responsabilmente la falla a GitHub.
• GitHub ha comunicato a Noma di aver aggiornato la documentazione associata al pattern di workflow vulnerabile, e i ricercatori hanno riferito che la configurazione vulnerabile non era più presente al loro ultimo controllo.
• Al 7 luglio, GitHub non aveva rilasciato una dichiarazione pubblica formale o un CVE per GitLost.
• La vulnerabilità sembra essere stata affrontata parzialmente attraverso la rimozione o la revisione della documentazione e del template di workflow, piuttosto che attraverso una correzione di sicurezza chiaramente documentata a livello di piattaforma.

Il quadro generale: un rischio sistemico

GitLost non è un incidente isolato. Rappresenta una classe crescente di vulnerabilità in cui gli agenti AI con accesso a dati sensibili sono esposti a contenuti utente non affidabili. Problemi simili hanno colpito le integrazioni GitHub MCP, i flussi di lavoro Gemini CLI di Google (vulnerabilità TrustIssues) e Claude Code su GitHub Actions. Il filo conduttore è che gli agenti basati su LLM mancano di una capacità intrinseca di distinguere tra dati e istruzioni quando entrambi appaiono nella stessa finestra di contesto — una sfida architetturale fondamentale che nessuna singola patch di piattaforma può risolvere completamente.