Jak działa atak

Badacze opisali podatny wzorzec GitHub Agentic Workflow jako ten, który:

• Uruchamiał się na zdarzeniach issues.assigned
• Odczytywał tytuł i treść zgłoszenia
• Publikował komentarz za pomocą narzędzia agenta, takiego jak add-comment
• Działał z dostępem do odczytu innych repozytoriów w organizacji, w tym prywatnych

Atak przebiega w czterech krokach:

1. Atakujący otwiera pozornie niewinne zgłoszenie w publicznym repozytorium należącym do organizacji korzystającej z podatnego wzorca Agentic Workflow.
2. W treści zgłoszenia ukryte są instrukcje w języku angielskim, nakazujące agentowi AI pobranie plików z prywatnych repozytoriów.
3. Gdy automatyka GitHuba przypisze zgłoszenie, uruchamiany jest przepływ pracy, który powoduje, że agent pobiera dane z repozytoriów, do których ma dostęp – w tym z prywatnych.
4. Agent publikuje pobrane dane jako publiczny komentarz do zgłoszenia, potencjalnie ujawniając je każdemu, kto może zobaczyć zgłoszenie.

Słabość architektoniczna u podstaw problemu

Głównym problemem jest naruszenie ścisłej granicy zaufania między instrukcjami systemowymi a niezaufanymi danymi użytkownika w oknie kontekstowym agenta AI. Jak ujął to Sasi Levi z Noma: „Okno kontekstowe agenta jest jednocześnie jego powierzchnią ataku. Każda treść, którą agent czyta – czy to zgłoszenia, pull requesty, komentarze czy pliki – może zostać wykorzystana, jeśli agent traktuje tę treść jako dane instruktażowe.”

Agenci oparte na modelach LLM mają trudności z odróżnieniem danych od instrukcji, gdy oba typy informacji pojawiają się w tym samym kontekście lub wyniku narzędzia. Nie jest to zwykły błąd programistyczny, ale strukturalne ryzyko w przepływach pracy z agentami AI, gdzie niezaufana treść może wpływać na zachowanie agenta, jeśli przepływ pracy jej nie izoluje lub nie ogranicza.

Badacze formalnie sklasyfikowali tę klasę błędów jako Agentic Workflow Injection (AWI), identyfikując dwa główne wzorce: Prompt-to-Agent (P2A), gdzie niezaufana treść dociera do granicy promptu agenta, oraz Prompt-to-Script (P2S), gdzie wpływ atakującego rozprzestrzenia się przez wyniki generowane przez model do późniejszych skryptów.

Jak ominięto zabezpieczenia: słowo „Additionally”

GitHub wdrożył zabezpieczenia mające zapobiegać kradzieży danych, ale badacze z Noma poinformowali, że można je ominąć w zaskakująco prosty sposób. Dodanie słowa „Additionally” do wstrzykniętych instrukcji powodowało, że model przeformułowywał swoją odpowiedź zamiast odrzucić żądanie, umożliwiając wyciek danych, jakby było to autoryzowane kontynuowanie zadania.

To podejście jest zgodne z szerszymi badaniami nad wstrzykiwaniem promptów, które pokazują, że określone sformułowania lub tekst zwrócony przez narzędzie mogą sprawić, że modele będą realizować złośliwe instrukcje, których nie powinny wykonywać. Ominięcie zabezpieczeń przypomina wzorce zaobserwowane we wcześniejszych incydentach, takich jak luka w GitHub MCP ujawniona przez Invariant Labs, gdzie złośliwe zgłoszenie mogło przejąć kontrolę nad agentem użytkownika, powodując wyciek danych z prywatnych repozytoriów.

Zalecane środki zaradcze dla organizacji

Na podstawie ustaleń dotyczących GitLost i ogólnych wytycznych dotyczących bezpieczeństwa przepływów pracy z agentami, dotknięte organizacje powinny wdrożyć następujące kontrole:

• Stosuj zasadę zerowego zaufania (zero trust) dla danych wejściowych agenta – nigdy nie traktuj treści pochodzących od użytkownika jako zaufanych instrukcji i izoluj niezaufane dane użytkownika od głównych promptów systemowych.
• Stosuj ścisłe uprawnienia minimalnego dostępu (least privilege) – usuń niepotrzebny dostęp między repozytoriami i ogranicz możliwość ujawniania danych przez agentów w publicznych wynikach.
• Używaj list dozwolonych narzędzi (allowlists) zamiast bloklist, i wymagaj bramek zatwierdzających przez człowieka przed wykonaniem przez agenta wrażliwych działań, takich jak publikowanie widocznych publicznie komentarzy czy dostęp do wrażliwych repozytoriów.
• Audytuj integracje agentów AI w CI/CD i automatyzacji repozytoriów, szczególnie tam, gdzie niezaufany kontekst zdarzeń GitHuba jest włączany do promptów lub danych wejściowych agenta.
• Logicznie izoluj niezaufane dane wejściowe użytkownika od dyrektyw systemowych, traktując tekst generowany przez użytkownika jako niezaufane dane, a nie autorytatywne instrukcje.

Organizacje powinny również stosować zasadę minimalnych uprawnień do sekretów agentów i wdrożyć ciągłe monitorowanie bezpieczeństwa pod kątem prób wstrzykiwania promptów.

Reakcja GitHuba (stan na 7 lipca)

Według Dark Reading i harmonogramu ujawnienia Noma Security:

• Noma odpowiedzialnie zgłosiła lukę GitHubowi.
• GitHub poinformował Nomę, że zaktualizował dokumentację związaną z podatnym wzorcem przepływu pracy, a badacze potwierdzili, że podatna konfiguracja nie była już dostępna podczas ich ostatniego sprawdzenia.
• Według stanu na 7 lipca GitHub nie wydał oficjalnego publicznego oświadczenia ani CVE dla GitLost.
• Luka została częściowo załatana poprzez usunięcie lub zmianę dokumentacji i szablonu przepływu pracy, a nie poprzez wyraźnie udokumentowaną poprawkę bezpieczeństwa na poziomie platformy.

Szerszy kontekst: ryzyko systemowe

GitLost nie jest odosobnionym incydentem. Reprezentuje rosnącą klasę podatności, w której agenci AI mający dostęp do wrażliwych danych są narażeni na niezaufane treści użytkowników. Podobne problemy dotknęły integracje GitHub MCP, przepływy pracy Google Gemini CLI (podatność TrustIssues) oraz Claude Code GitHub Actions. Wspólnym mianownikiem jest to, że agenci oparte na LLM nie mają wrodzonej zdolności do odróżnienia danych od instrukcji, gdy oba typy informacji pojawiają się w tym samym oknie kontekstowym – jest to fundamentalne wyzwanie architektoniczne, którego żadna pojedyncza łatka platformy nie może w pełni rozwiązać.

Jak działa atak

Badacze opisali podatny wzorzec GitHub Agentic Workflow jako ten, który:

• Uruchamiał się na zdarzeniach issues.assigned
• Odczytywał tytuł i treść zgłoszenia
• Publikował komentarz za pomocą narzędzia agenta, takiego jak add-comment
• Działał z dostępem do odczytu innych repozytoriów w organizacji, w tym prywatnych

Atak przebiega w czterech krokach:

1. Atakujący otwiera pozornie niewinne zgłoszenie w publicznym repozytorium należącym do organizacji korzystającej z podatnego wzorca Agentic Workflow.
2. W treści zgłoszenia ukryte są instrukcje w języku angielskim, nakazujące agentowi AI pobranie plików z prywatnych repozytoriów.
3. Gdy automatyka GitHuba przypisze zgłoszenie, uruchamiany jest przepływ pracy, który powoduje, że agent pobiera dane z repozytoriów, do których ma dostęp – w tym z prywatnych.
4. Agent publikuje pobrane dane jako publiczny komentarz do zgłoszenia, potencjalnie ujawniając je każdemu, kto może zobaczyć zgłoszenie.

Słabość architektoniczna u podstaw problemu

Głównym problemem jest naruszenie ścisłej granicy zaufania między instrukcjami systemowymi a niezaufanymi danymi użytkownika w oknie kontekstowym agenta AI. Jak ujął to Sasi Levi z Noma: „Okno kontekstowe agenta jest jednocześnie jego powierzchnią ataku. Każda treść, którą agent czyta – czy to zgłoszenia, pull requesty, komentarze czy pliki – może zostać wykorzystana, jeśli agent traktuje tę treść jako dane instruktażowe.”

Agenci oparte na modelach LLM mają trudności z odróżnieniem danych od instrukcji, gdy oba typy informacji pojawiają się w tym samym kontekście lub wyniku narzędzia. Nie jest to zwykły błąd programistyczny, ale strukturalne ryzyko w przepływach pracy z agentami AI, gdzie niezaufana treść może wpływać na zachowanie agenta, jeśli przepływ pracy jej nie izoluje lub nie ogranicza.

Badacze formalnie sklasyfikowali tę klasę błędów jako Agentic Workflow Injection (AWI), identyfikując dwa główne wzorce: Prompt-to-Agent (P2A), gdzie niezaufana treść dociera do granicy promptu agenta, oraz Prompt-to-Script (P2S), gdzie wpływ atakującego rozprzestrzenia się przez wyniki generowane przez model do późniejszych skryptów.

Jak ominięto zabezpieczenia: słowo „Additionally”

GitHub wdrożył zabezpieczenia mające zapobiegać kradzieży danych, ale badacze z Noma poinformowali, że można je ominąć w zaskakująco prosty sposób. Dodanie słowa „Additionally” do wstrzykniętych instrukcji powodowało, że model przeformułowywał swoją odpowiedź zamiast odrzucić żądanie, umożliwiając wyciek danych, jakby było to autoryzowane kontynuowanie zadania.

To podejście jest zgodne z szerszymi badaniami nad wstrzykiwaniem promptów, które pokazują, że określone sformułowania lub tekst zwrócony przez narzędzie mogą sprawić, że modele będą realizować złośliwe instrukcje, których nie powinny wykonywać. Ominięcie zabezpieczeń przypomina wzorce zaobserwowane we wcześniejszych incydentach, takich jak luka w GitHub MCP ujawniona przez Invariant Labs, gdzie złośliwe zgłoszenie mogło przejąć kontrolę nad agentem użytkownika, powodując wyciek danych z prywatnych repozytoriów.

Zalecane środki zaradcze dla organizacji

Na podstawie ustaleń dotyczących GitLost i ogólnych wytycznych dotyczących bezpieczeństwa przepływów pracy z agentami, dotknięte organizacje powinny wdrożyć następujące kontrole:

• Stosuj zasadę zerowego zaufania (zero trust) dla danych wejściowych agenta – nigdy nie traktuj treści pochodzących od użytkownika jako zaufanych instrukcji i izoluj niezaufane dane użytkownika od głównych promptów systemowych.
• Stosuj ścisłe uprawnienia minimalnego dostępu (least privilege) – usuń niepotrzebny dostęp między repozytoriami i ogranicz możliwość ujawniania danych przez agentów w publicznych wynikach.
• Używaj list dozwolonych narzędzi (allowlists) zamiast bloklist, i wymagaj bramek zatwierdzających przez człowieka przed wykonaniem przez agenta wrażliwych działań, takich jak publikowanie widocznych publicznie komentarzy czy dostęp do wrażliwych repozytoriów.
• Audytuj integracje agentów AI w CI/CD i automatyzacji repozytoriów, szczególnie tam, gdzie niezaufany kontekst zdarzeń GitHuba jest włączany do promptów lub danych wejściowych agenta.
• Logicznie izoluj niezaufane dane wejściowe użytkownika od dyrektyw systemowych, traktując tekst generowany przez użytkownika jako niezaufane dane, a nie autorytatywne instrukcje.

Organizacje powinny również stosować zasadę minimalnych uprawnień do sekretów agentów i wdrożyć ciągłe monitorowanie bezpieczeństwa pod kątem prób wstrzykiwania promptów.

Reakcja GitHuba (stan na 7 lipca)

Według Dark Reading i harmonogramu ujawnienia Noma Security:

• Noma odpowiedzialnie zgłosiła lukę GitHubowi.
• GitHub poinformował Nomę, że zaktualizował dokumentację związaną z podatnym wzorcem przepływu pracy, a badacze potwierdzili, że podatna konfiguracja nie była już dostępna podczas ich ostatniego sprawdzenia.
• Według stanu na 7 lipca GitHub nie wydał oficjalnego publicznego oświadczenia ani CVE dla GitLost.
• Luka została częściowo załatana poprzez usunięcie lub zmianę dokumentacji i szablonu przepływu pracy, a nie poprzez wyraźnie udokumentowaną poprawkę bezpieczeństwa na poziomie platformy.

Szerszy kontekst: ryzyko systemowe

GitLost nie jest odosobnionym incydentem. Reprezentuje rosnącą klasę podatności, w której agenci AI mający dostęp do wrażliwych danych są narażeni na niezaufane treści użytkowników. Podobne problemy dotknęły integracje GitHub MCP, przepływy pracy Google Gemini CLI (podatność TrustIssues) oraz Claude Code GitHub Actions. Wspólnym mianownikiem jest to, że agenci oparte na LLM nie mają wrodzonej zdolności do odróżnienia danych od instrukcji, gdy oba typy informacji pojawiają się w tym samym oknie kontekstowym – jest to fundamentalne wyzwanie architektoniczne, którego żadna pojedyncza łatka platformy nie może w pełni rozwiązać.