Hoe de aanval werkt

Onderzoekers beschreven het kwetsbare GitHub Agentic Workflow-patroon als een patroon dat:

• Wordt geactiveerd bij issues.assigned-gebeurtenissen
• De titel en body van het Issue leest
• Een reactie plaatst met een agent-tool zoals add-comment
• Draait met leesrechten voor andere repositories in de organisatie, inclusief privé-repositories

De aanval verloopt in vier stappen:

1. De aanv那aller opent een ogenschijnlijk onschuldig GitHub Issue in een openbare repository van een organisatie die het kwetsbare Agentic Workflow-patroon gebruikt.
2. Verborgen in de Issue-body staan instructies in gewoon Engels die de AI-agent opdragen om bestanden uit privé-repositories op te halen.
3. Wanneer GitHub-automatisering het Issue toewijst, zorgt de gebeurtenisgestuurde workflow ervoor dat de agent gegevens ophaalt uit repositories waartoe hij toegang heeft, inclusief privé-repositories.
4. De agent plaatst de opgehaalde inhoud als een openbare reactie op het Issue, waardoor de gegevens mogelijk zichtbaar worden voor iedereen die het Issue kan bekijken.

De onderliggende architectuurzwakte

De kernfout is een falen om een strikte vertrouwensgrens te handhaven tussen systeeminstructies en niet-vertrouwde gebruikersgegevens binnen de contextvenster van de AI-agent. Zoals Noma's Sasi Levi stelde: "Het contextvenster van de agent is ook het aanvalsoppervlak. Alle inhoud die de agent leest — of het nu Issues, pull-requests, reacties of bestanden zijn — kan worden bewapend als de agent die inhoud als instructie-invoer beschouwt."

LLM-gebaseerde agents hebben moeite om onderscheid te maken tussen gegevens en instructies wanneer beide in dezelfde context of tool-uitvoer verschijnen. Dit is niet alleen een conventionele coderingsfout, maar een structureel risico in agentische AI-workflows, waarbij niet-vertrouwde inhoud het gedrag van de agent kan beïnvloeden als de workflow deze niet isoleert of beperkt.

Onderzoekers hebben deze klasse van fouten formeel gecategoriseerd als Agentic Workflow Injection (AWI), waarbij twee kernpatronen worden geïdentificeerd: Prompt-to-Agent (P2A), waarbij niet-vertrouwde inhoud een agent-promptgrens bereikt, en Prompt-to-Script (P2S), waarbij de invloed van de aanvaller zich via model-afgeleide outputs verspreidt naar latere scripts.

De omzeilingstechniek: het woord 'Bovendien'

GitHub had beveiligingsmaatregelen (guardrails) om gegevensexfiltratie te voorkomen, maar Noma-onderzoekers meldden dat deze konden worden omzeild met een verrassend eenvoudige techniek. Het toevoegen van het woord 'Bovendien' ('Additionally') aan de geïnjecteerde instructies zorgde er volgens hen voor dat het model zijn uitvoer herkaderde in plaats van het verzoek te weigeren, waardoor het datalek kon doorgaan alsof het een geautoriseerd vervolg van de taak was.

Deze aanpak is consistent met breder prompt-injectieonderzoek waaruit blijkt dat specifieke formuleringen of door tools geretourneerde tekst ertoe kunnen leiden dat modellen kwaadwillige instructies opvolgen die ze eigenlijk niet zouden moeten opvolgen. De omzeiling van de guardrails weerspiegelt patronen die ook in eerdere incidenten zijn gezien, zoals de GitHub MCP-kwetsbaarheid die door Invariant Labs is onthuld, waarbij een kwaadwillig Issue de agent van een gebruiker kon kapen om gegevens uit privé-repositories te lekken.

Aanbevolen maatregelen voor organisaties

Op basis van de GitLost-bevindingen en bredere beveiligingsrichtlijnen voor agentische workflows, moeten getroffen organisaties de volgende maatregelen implementeren:

• Pas zero-trust toe voor agent-invoer — behandel door gebruikers gecontroleerde inhoud nooit als vertrouwde instructie-invoer en isoleer niet-vertrouwde gebruikersgegevens van de kern-systeemprompts.
• Pas strikte minimale-rechtenpermissies toe door onnodige cross-repository-toegang te verwijderen en de mogelijkheid van agents om gegevens via openbare outputs bloot te stellen te beperken.
• Gebruik allowlists voor tools in plaats van blocklists, en vereis menselijke goedkeuringsmomenten voordat agents gevoelige acties uitvoeren, zoals het plaatsen van extern zichtbare reacties of het openen van gevoelige repositories.
• Audit AI-agentintegraties in CI/CD- en repository-automatiseringsworkflows, vooral waar niet-vertrouwde GitHub-gebeurteniscontext wordt opgenomen in prompts of agent-invoer.
• Isoleer niet-vertrouwde gebruikersinvoer logisch van systeemdirectives, en behandel door gebruikers gegenereerde tekst als niet-vertrouwde gegevens in plaats van als gezaghebbende instructies.

Organisaties moeten ook het principe van minimale rechten toepassen op agent-geheimen en continue beveiligingsmonitoring implementeren voor prompt-injectiepogingen.

Reactie van GitHub (per 7 juli)

Volgens Dark Reading en het openbaarmakingstijdschema van Noma Security:

• Noma heeft de kwetsbaarheid op verantwoorde wijze aan GitHub gemeld.
• GitHub vertelde Noma dat het de documentatie van het kwetsbare workflow-patroon had bijgewerkt, en onderzoekers meldden dat de kwetsbare configuratie niet langer aanwezig was toen ze dit voor het laatst controleerden.
• Per 7 juli had GitHub geen formele openbare verklaring of CVE voor GitLost uitgegeven.
• De kwetsbaarheid lijkt gedeeltelijk te zijn aangepakt door het verwijderen of herzien van de betreffende documentatie en het workflow-sjabloon, in plaats van door een duidelijk gedocumenteerde platformbrede beveiligingsfix.

Het grotere plaatje: een systeemrisico

GitLost is geen geïsoleerd incident. Het vertegenwoordigt een groeiende klasse van kwetsbaarheden waarbij AI-agenten met toegang tot gevoelige gegevens worden blootgesteld aan niet-vertrouwde gebruikersinhoud. Soortgelijke problemen hebben GitHub MCP-integraties, Google's Gemini CLI-workflows (de TrustIssues-kwetsbaarheid) en Claude Code GitHub Actions getroffen. De gemeenschappelijke deler is dat LLM-gebaseerde agenten het inherente vermogen missen om onderscheid te maken tussen gegevens en instructies wanneer beide in hetzelfde contextvenster verschijnen — een fundamentele architectuuruitdaging die geen enkele platformpatch volledig kan oplossen.

Hoe de aanval werkt

Onderzoekers beschreven het kwetsbare GitHub Agentic Workflow-patroon als een patroon dat:

• Wordt geactiveerd bij issues.assigned-gebeurtenissen
• De titel en body van het Issue leest
• Een reactie plaatst met een agent-tool zoals add-comment
• Draait met leesrechten voor andere repositories in de organisatie, inclusief privé-repositories

De aanval verloopt in vier stappen:

1. De aanv那aller opent een ogenschijnlijk onschuldig GitHub Issue in een openbare repository van een organisatie die het kwetsbare Agentic Workflow-patroon gebruikt.
2. Verborgen in de Issue-body staan instructies in gewoon Engels die de AI-agent opdragen om bestanden uit privé-repositories op te halen.
3. Wanneer GitHub-automatisering het Issue toewijst, zorgt de gebeurtenisgestuurde workflow ervoor dat de agent gegevens ophaalt uit repositories waartoe hij toegang heeft, inclusief privé-repositories.
4. De agent plaatst de opgehaalde inhoud als een openbare reactie op het Issue, waardoor de gegevens mogelijk zichtbaar worden voor iedereen die het Issue kan bekijken.

De onderliggende architectuurzwakte

De kernfout is een falen om een strikte vertrouwensgrens te handhaven tussen systeeminstructies en niet-vertrouwde gebruikersgegevens binnen de contextvenster van de AI-agent. Zoals Noma's Sasi Levi stelde: "Het contextvenster van de agent is ook het aanvalsoppervlak. Alle inhoud die de agent leest — of het nu Issues, pull-requests, reacties of bestanden zijn — kan worden bewapend als de agent die inhoud als instructie-invoer beschouwt."

LLM-gebaseerde agents hebben moeite om onderscheid te maken tussen gegevens en instructies wanneer beide in dezelfde context of tool-uitvoer verschijnen. Dit is niet alleen een conventionele coderingsfout, maar een structureel risico in agentische AI-workflows, waarbij niet-vertrouwde inhoud het gedrag van de agent kan beïnvloeden als de workflow deze niet isoleert of beperkt.

Onderzoekers hebben deze klasse van fouten formeel gecategoriseerd als Agentic Workflow Injection (AWI), waarbij twee kernpatronen worden geïdentificeerd: Prompt-to-Agent (P2A), waarbij niet-vertrouwde inhoud een agent-promptgrens bereikt, en Prompt-to-Script (P2S), waarbij de invloed van de aanvaller zich via model-afgeleide outputs verspreidt naar latere scripts.

De omzeilingstechniek: het woord 'Bovendien'

GitHub had beveiligingsmaatregelen (guardrails) om gegevensexfiltratie te voorkomen, maar Noma-onderzoekers meldden dat deze konden worden omzeild met een verrassend eenvoudige techniek. Het toevoegen van het woord 'Bovendien' ('Additionally') aan de geïnjecteerde instructies zorgde er volgens hen voor dat het model zijn uitvoer herkaderde in plaats van het verzoek te weigeren, waardoor het datalek kon doorgaan alsof het een geautoriseerd vervolg van de taak was.

Deze aanpak is consistent met breder prompt-injectieonderzoek waaruit blijkt dat specifieke formuleringen of door tools geretourneerde tekst ertoe kunnen leiden dat modellen kwaadwillige instructies opvolgen die ze eigenlijk niet zouden moeten opvolgen. De omzeiling van de guardrails weerspiegelt patronen die ook in eerdere incidenten zijn gezien, zoals de GitHub MCP-kwetsbaarheid die door Invariant Labs is onthuld, waarbij een kwaadwillig Issue de agent van een gebruiker kon kapen om gegevens uit privé-repositories te lekken.

Aanbevolen maatregelen voor organisaties

Op basis van de GitLost-bevindingen en bredere beveiligingsrichtlijnen voor agentische workflows, moeten getroffen organisaties de volgende maatregelen implementeren:

• Pas zero-trust toe voor agent-invoer — behandel door gebruikers gecontroleerde inhoud nooit als vertrouwde instructie-invoer en isoleer niet-vertrouwde gebruikersgegevens van de kern-systeemprompts.
• Pas strikte minimale-rechtenpermissies toe door onnodige cross-repository-toegang te verwijderen en de mogelijkheid van agents om gegevens via openbare outputs bloot te stellen te beperken.
• Gebruik allowlists voor tools in plaats van blocklists, en vereis menselijke goedkeuringsmomenten voordat agents gevoelige acties uitvoeren, zoals het plaatsen van extern zichtbare reacties of het openen van gevoelige repositories.
• Audit AI-agentintegraties in CI/CD- en repository-automatiseringsworkflows, vooral waar niet-vertrouwde GitHub-gebeurteniscontext wordt opgenomen in prompts of agent-invoer.
• Isoleer niet-vertrouwde gebruikersinvoer logisch van systeemdirectives, en behandel door gebruikers gegenereerde tekst als niet-vertrouwde gegevens in plaats van als gezaghebbende instructies.

Organisaties moeten ook het principe van minimale rechten toepassen op agent-geheimen en continue beveiligingsmonitoring implementeren voor prompt-injectiepogingen.

Reactie van GitHub (per 7 juli)

Volgens Dark Reading en het openbaarmakingstijdschema van Noma Security:

• Noma heeft de kwetsbaarheid op verantwoorde wijze aan GitHub gemeld.
• GitHub vertelde Noma dat het de documentatie van het kwetsbare workflow-patroon had bijgewerkt, en onderzoekers meldden dat de kwetsbare configuratie niet langer aanwezig was toen ze dit voor het laatst controleerden.
• Per 7 juli had GitHub geen formele openbare verklaring of CVE voor GitLost uitgegeven.
• De kwetsbaarheid lijkt gedeeltelijk te zijn aangepakt door het verwijderen of herzien van de betreffende documentatie en het workflow-sjabloon, in plaats van door een duidelijk gedocumenteerde platformbrede beveiligingsfix.

Het grotere plaatje: een systeemrisico

GitLost is geen geïsoleerd incident. Het vertegenwoordigt een groeiende klasse van kwetsbaarheden waarbij AI-agenten met toegang tot gevoelige gegevens worden blootgesteld aan niet-vertrouwde gebruikersinhoud. Soortgelijke problemen hebben GitHub MCP-integraties, Google's Gemini CLI-workflows (de TrustIssues-kwetsbaarheid) en Claude Code GitHub Actions getroffen. De gemeenschappelijke deler is dat LLM-gebaseerde agenten het inherente vermogen missen om onderscheid te maken tussen gegevens en instructies wanneer beide in hetzelfde contextvenster verschijnen — een fundamentele architectuuruitdaging die geen enkele platformpatch volledig kan oplossen.