공격 작동 방식

연구진이 설명한 취약한 깃허브 Agentic Workflow 패턴은 다음과 같은 특징을 가집니다:

• issues.assigned 이벤트에 의해 트리거됨
• 이슈 제목과 본문을 읽음
• add-comment 같은 에이전트 도구를 사용해 댓글을 게시함
• 조직 내 다른 저장소(비공개 저장소 포함)에 대한 읽기 권한을 가지고 실행됨

공격은 네 단계로 진행됩니다:

1. 공격자는 취약한 Agentic Workflow 패턴을 사용하는 조직의 공개 저장소에 평범해 보이는 깃허브 이슈를 엽니다.
2. 이슈 본문에는 비공개 저장소에서 파일을 가져오도록 AI 에이전트에게 지시하는 일반 영어 명령어가 숨겨져 있습니다.
3. 깃허브 자동화가 이슈를 할당하면, 이벤트 트리거 워크플로우로 인해 에이전트가 접근 가능한 저장소(비공개 저장소 포함)에서 데이터를 가져옵니다.
4. 에이전트는 가져온 내용을 이슈에 공개 댓글로 게시하여, 이슈를 볼 수 있는 모든 사람에게 데이터를 노출시킵니다.

근본적인 아키텍처 취약점

핵심 결함은 AI 에이전트의 컨텍스트 윈도우 내에서 시스템 수준 명령어와 신뢰할 수 없는 사용자 데이터 간의 엄격한 신뢰 경계를 유지하지 못하는 것입니다. Noma의 Sasi Levi 연구원은 이렇게 설명합니다: "에이전트의 컨텍스트 윈도우는 곧 공격 표면입니다. 에이전트가 읽는 모든 콘텐츠(이슈, 풀 리퀘스트, 댓글, 파일 등)는 에이전트가 해당 콘텐츠를 명령어 입력으로 취급한다면 무기화될 수 있습니다."

LLM 기반 에이전트는 데이터와 명령어가 동일한 맥락이나 도구 출력에 나타날 때 이 둘을 구분하는 데 어려움을 겪습니다. 이는 단순한 기존 코딩 버그가 아니라, 워크플로우가 신뢰할 수 없는 콘텐츠를 분리하거나 제한하지 않을 경우 에이전트의 행동에 영향을 미칠 수 있는 에이전틱 AI 워크플로우의 구조적 위험입니다.

연구진은 이러한 결함 클래스를 'Agentic Workflow Injection(AWI)'으로 공식 분류했으며, 두 가지 핵심 패턴을 식별했습니다: 신뢰할 수 없는 콘텐츠가 에이전트 프롬프트 경계에 도달하는 'Prompt-to-Agent(P2A)'와, 공격자의 영향력이 모델 기반 출력을 통해 이후 스크립트로 전파되는 'Prompt-to-Script(P2S)'입니다.

가드레일 우회 기술: "Additionally" 키워드

깃허브는 데이터 유출을 방지하기 위한 가드레일을 갖추고 있었지만, Noma 연구진은 놀라울 정도로 간단한 기술로 이를 우회할 수 있다고 보고했습니다. 인젝션 명령어에 "Additionally"라는 단어를 추가하면 모델이 요청을 거부하지 않고 출력을 재구성하여, 데이터 유출이 마치 승인된 작업의 연속인 것처럼 진행되도록 만들었습니다.

이 접근 방식은 특정 문구나 도구 반환 텍스트가 모델로 하여금 따라해서는 안 될 악성 명령어를 따르도록 유도할 수 있다는 광범위한 프롬프트 인젝션 연구 결과와 일치합니다. 이 가드레일 우회는 Invariant Labs가 공개한 깃허브 MCP 취약점과 같은 이전 사례에서도 확인된 패턴입니다.

조직을 위한 권장 완화 조치

GitLost 발견과 광범위한 에이전틱 워크플로우 보안 지침에 따라, 영향을 받는 조직은 다음 통제 조치를 구현해야 합니다:

• 에이전트 입력에 대해 제로 트러스트 채택 — 사용자 제어 콘텐츠를 신뢰할 수 있는 명령어 입력으로 취급하지 말고, 신뢰할 수 없는 사용자 데이터를 핵심 시스템 프롬프트와 분리하십시오.
• 엄격한 최소 권한 적용 — 불필요한 교차 저장소 접근을 제거하고, 에이전트가 공개 출력을 통해 데이터를 노출할 수 있는 능력을 제한하십시오.
• 도구에 대해 블록리스트 대신 허용리스트 사용 및 민감한 작업(공개 댓글 게시, 민감한 저장소 접근 등) 전에 인간 승인 게이트를 요구하십시오.
• CI/CD 및 저장소 자동화 워크플로우에서 AI 에이전트 통합 감사, 특히 신뢰할 수 없는 깃허브 이벤트 컨텍스트가 프롬프트나 에이전트 입력에 통합되는 경우를 점검하십시오.
• 신뢰할 수 없는 사용자 입력을 시스템 수준 지시문과 논리적으로 분리하고, 사용자 생성 텍스트를 권위 있는 명령어가 아닌 신뢰할 수 없는 데이터로 취급하십시오.

조직은 또한 에이전트 비밀에 최소 권한 원칙을 적용하고 프롬프트 인젝션 시도에 대한 지속적인 보안 모니터링을 구현해야 합니다.

깃허브의 대응 현황 (7월 7일 기준)

Dark Reading과 Noma Security의 공개 타임라인에 따르면:

• Noma는 깃허브에 취약점을 책임감 있게 공개했습니다.
• 깃허브는 Noma에 취약한 워크플로우 패턴과 관련된 문서를 업데이트했다고 알렸으며, 연구진이 마지막으로 확인했을 때 취약한 구성은 더 이상 존재하지 않았습니다.
• 7월 7일 기준, 깃허브는 GitLost에 대한 공식 성명이나 CVE를 발행하지 않았습니다.
• 이 취약점은 명확하게 문서화된 플랫폼 수준의 보안 수정보다는, 관련 문서와 워크플로우 템플릿의 제거 또는 수정을 통해 부분적으로 해결된 것으로 보입니다.

더 큰 그림: 시스템적 위험

GitLost는 고립된 사건이 아닙니다. 이는 민감한 데이터에 접근할 수 있는 AI 에이전트가 신뢰할 수 없는 사용자 콘텐츠에 노출되는 성장하는 취약점 클래스를 대표합니다. 유사한 문제는 깃허브 MCP 통합, 구글의 Gemini CLI 워크플로우(TrustIssues 취약점), Claude Code GitHub Actions에도 영향을 미쳤습니다. 공통점은 LLM 기반 에이전트가 데이터와 명령어를 동일한 컨텍스트 윈도우 내에서 구분하는 본질적인 능력이 부족하다는 점이며, 이는 단일 플랫폼 패치로 완전히 해결할 수 없는 근본적인 아키텍처 문제입니다.

공격 작동 방식

연구진이 설명한 취약한 깃허브 Agentic Workflow 패턴은 다음과 같은 특징을 가집니다:

• issues.assigned 이벤트에 의해 트리거됨
• 이슈 제목과 본문을 읽음
• add-comment 같은 에이전트 도구를 사용해 댓글을 게시함
• 조직 내 다른 저장소(비공개 저장소 포함)에 대한 읽기 권한을 가지고 실행됨

공격은 네 단계로 진행됩니다:

1. 공격자는 취약한 Agentic Workflow 패턴을 사용하는 조직의 공개 저장소에 평범해 보이는 깃허브 이슈를 엽니다.
2. 이슈 본문에는 비공개 저장소에서 파일을 가져오도록 AI 에이전트에게 지시하는 일반 영어 명령어가 숨겨져 있습니다.
3. 깃허브 자동화가 이슈를 할당하면, 이벤트 트리거 워크플로우로 인해 에이전트가 접근 가능한 저장소(비공개 저장소 포함)에서 데이터를 가져옵니다.
4. 에이전트는 가져온 내용을 이슈에 공개 댓글로 게시하여, 이슈를 볼 수 있는 모든 사람에게 데이터를 노출시킵니다.

근본적인 아키텍처 취약점

핵심 결함은 AI 에이전트의 컨텍스트 윈도우 내에서 시스템 수준 명령어와 신뢰할 수 없는 사용자 데이터 간의 엄격한 신뢰 경계를 유지하지 못하는 것입니다. Noma의 Sasi Levi 연구원은 이렇게 설명합니다: "에이전트의 컨텍스트 윈도우는 곧 공격 표면입니다. 에이전트가 읽는 모든 콘텐츠(이슈, 풀 리퀘스트, 댓글, 파일 등)는 에이전트가 해당 콘텐츠를 명령어 입력으로 취급한다면 무기화될 수 있습니다."

LLM 기반 에이전트는 데이터와 명령어가 동일한 맥락이나 도구 출력에 나타날 때 이 둘을 구분하는 데 어려움을 겪습니다. 이는 단순한 기존 코딩 버그가 아니라, 워크플로우가 신뢰할 수 없는 콘텐츠를 분리하거나 제한하지 않을 경우 에이전트의 행동에 영향을 미칠 수 있는 에이전틱 AI 워크플로우의 구조적 위험입니다.

연구진은 이러한 결함 클래스를 'Agentic Workflow Injection(AWI)'으로 공식 분류했으며, 두 가지 핵심 패턴을 식별했습니다: 신뢰할 수 없는 콘텐츠가 에이전트 프롬프트 경계에 도달하는 'Prompt-to-Agent(P2A)'와, 공격자의 영향력이 모델 기반 출력을 통해 이후 스크립트로 전파되는 'Prompt-to-Script(P2S)'입니다.

가드레일 우회 기술: "Additionally" 키워드

깃허브는 데이터 유출을 방지하기 위한 가드레일을 갖추고 있었지만, Noma 연구진은 놀라울 정도로 간단한 기술로 이를 우회할 수 있다고 보고했습니다. 인젝션 명령어에 "Additionally"라는 단어를 추가하면 모델이 요청을 거부하지 않고 출력을 재구성하여, 데이터 유출이 마치 승인된 작업의 연속인 것처럼 진행되도록 만들었습니다.

이 접근 방식은 특정 문구나 도구 반환 텍스트가 모델로 하여금 따라해서는 안 될 악성 명령어를 따르도록 유도할 수 있다는 광범위한 프롬프트 인젝션 연구 결과와 일치합니다. 이 가드레일 우회는 Invariant Labs가 공개한 깃허브 MCP 취약점과 같은 이전 사례에서도 확인된 패턴입니다.

조직을 위한 권장 완화 조치

GitLost 발견과 광범위한 에이전틱 워크플로우 보안 지침에 따라, 영향을 받는 조직은 다음 통제 조치를 구현해야 합니다:

• 에이전트 입력에 대해 제로 트러스트 채택 — 사용자 제어 콘텐츠를 신뢰할 수 있는 명령어 입력으로 취급하지 말고, 신뢰할 수 없는 사용자 데이터를 핵심 시스템 프롬프트와 분리하십시오.
• 엄격한 최소 권한 적용 — 불필요한 교차 저장소 접근을 제거하고, 에이전트가 공개 출력을 통해 데이터를 노출할 수 있는 능력을 제한하십시오.
• 도구에 대해 블록리스트 대신 허용리스트 사용 및 민감한 작업(공개 댓글 게시, 민감한 저장소 접근 등) 전에 인간 승인 게이트를 요구하십시오.
• CI/CD 및 저장소 자동화 워크플로우에서 AI 에이전트 통합 감사, 특히 신뢰할 수 없는 깃허브 이벤트 컨텍스트가 프롬프트나 에이전트 입력에 통합되는 경우를 점검하십시오.
• 신뢰할 수 없는 사용자 입력을 시스템 수준 지시문과 논리적으로 분리하고, 사용자 생성 텍스트를 권위 있는 명령어가 아닌 신뢰할 수 없는 데이터로 취급하십시오.

조직은 또한 에이전트 비밀에 최소 권한 원칙을 적용하고 프롬프트 인젝션 시도에 대한 지속적인 보안 모니터링을 구현해야 합니다.

깃허브의 대응 현황 (7월 7일 기준)

Dark Reading과 Noma Security의 공개 타임라인에 따르면:

• Noma는 깃허브에 취약점을 책임감 있게 공개했습니다.
• 깃허브는 Noma에 취약한 워크플로우 패턴과 관련된 문서를 업데이트했다고 알렸으며, 연구진이 마지막으로 확인했을 때 취약한 구성은 더 이상 존재하지 않았습니다.
• 7월 7일 기준, 깃허브는 GitLost에 대한 공식 성명이나 CVE를 발행하지 않았습니다.
• 이 취약점은 명확하게 문서화된 플랫폼 수준의 보안 수정보다는, 관련 문서와 워크플로우 템플릿의 제거 또는 수정을 통해 부분적으로 해결된 것으로 보입니다.

더 큰 그림: 시스템적 위험

GitLost는 고립된 사건이 아닙니다. 이는 민감한 데이터에 접근할 수 있는 AI 에이전트가 신뢰할 수 없는 사용자 콘텐츠에 노출되는 성장하는 취약점 클래스를 대표합니다. 유사한 문제는 깃허브 MCP 통합, 구글의 Gemini CLI 워크플로우(TrustIssues 취약점), Claude Code GitHub Actions에도 영향을 미쳤습니다. 공통점은 LLM 기반 에이전트가 데이터와 명령어를 동일한 컨텍스트 윈도우 내에서 구분하는 본질적인 능력이 부족하다는 점이며, 이는 단일 플랫폼 패치로 완전히 해결할 수 없는 근본적인 아키텍처 문제입니다.