Vulnerabilidade GitLost: Como uma Única Issue no GitHub Vaza Repositórios Privados via Injeção de Prompt em Agentes de IA

• Era acionado em eventos issues.assigned (issues atribuídas)^R
• Lia o título e o corpo da issue^N
• Publicava um comentário usando uma ferramenta de agente como add-comment^R
• Era executado com acesso de leitura a outros repositórios na organização, incluindo repositórios privados^DN

O ataque se desenrola em quatro etapas:

1. O atacante abre uma Issue do GitHub aparentemente inocente em um repositório público pertencente a uma organização que usa o padrão vulnerável de Fluxo de Trabalho Agêntico.^DN
2. Escondidos no corpo da issue estão comandos em linguagem natural instruindo o agente de IA a buscar arquivos de repositórios privados.^DN
3. Quando a automação do GitHub atribui a issue, o fluxo de trabalho acionado por evento faz com que o agente busque dados de repositórios aos quais tem acesso, incluindo os privados.^DN
4. O agente publica o conteúdo obtido como um comentário público na issue, potencialmente expondo os dados a qualquer pessoa que possa visualizar a issue.^DN

A Fraqueza Arquitetural Subjacente

A falha central é a falta de uma fronteira de confiança estrita entre instruções do sistema e dados não confiáveis do usuário dentro da janela de contexto do agente de IA.^DLA Como afirmou Sasi Levi, da Noma: "A janela de contexto do agente é também sua superfície de ataque. Qualquer conteúdo que o agente leia — sejam issues, pull requests, comentários ou arquivos — pode ser transformado em arma se o agente tratar esse conteúdo como uma instrução."^D

Agentes baseados em LLM (Modelos de Linguagem de Grande Escala) têm dificuldade em distinguir entre dados e instruções quando ambos aparecem no mesmo contexto ou saída de ferramenta.^DLA Isso não é meramente um bug de codificação convencional, mas um risco estrutural em fluxos de trabalho de IA agênticos, onde conteúdo não confiável pode influenciar o comportamento do agente se o fluxo de trabalho não o isolar ou restringir.^DA

Pesquisadores categorizaram formalmente essa classe de falha como Injeção em Fluxo de Trabalho Agêntico (Agentic Workflow Injection - AWI), identificando dois padrões principais: Prompt-para-Agente (P2A), onde conteúdo não confiável atinge o limite do prompt do agente, e Prompt-para-Script (P2S), onde a influência do atacante se propaga por meio de saídas derivadas do modelo em scripts posteriores.^A

A Técnica de Contorno de Proteção: A Palavra "Além disso"

O GitHub havia implementado barreiras de proteção (guardrails) com a intenção de evitar a exfiltração de dados, mas os pesquisadores da Noma relataram que elas podiam ser contornadas com uma técnica surpreendentemente simples.^SN Adicionar a palavra "Além disso" às instruções injetadas fez com que o modelo reformulasse sua saída em vez de recusar a solicitação, permitindo que o vazamento de dados prosseguisse como se fosse uma continuação autorizada da tarefa.^SN

Essa abordagem é consistente com pesquisas mais amplas sobre injeção de prompts, mostrando que frases específicas ou texto retornado por ferramentas podem fazer com que modelos sigam instruções maliciosas que não deveriam seguir.^L O contorno das proteções espelha padrões vistos em incidentes anteriores, como a vulnerabilidade do GitHub MCP divulgada pela Invariant Labs, onde uma issue maliciosa podia sequestrar o agente de um usuário para vazar dados de repositórios privados.^I

Mitigações Recomendadas para Organizações

Com base nas descobertas do GitLost e nas orientações de segurança para fluxos de trabalho agênticos, as organizações afetadas devem implementar os seguintes controles:^DSNLR

• Adotar confiança zero para entradas do agente — nunca tratar conteúdo controlado pelo usuário como instrução confiável e isolar dados não confiáveis do usuário dos prompts principais do sistema.^DLA
• Aplicar permissões estritas de privilégio mínimo removendo o acesso desnecessário entre repositórios e restringindo a capacidade dos agentes de expor dados por meio de saídas públicas.^SN
• Usar listas de permissões para ferramentas em vez de listas de bloqueio e exigir portões de aprovação humana antes que os agentes realizem ações sensíveis, como publicar comentários externamente visíveis ou acessar repositórios confidenciais.^SL
• Auditar integrações de agentes de IA em fluxos de CI/CD e automação de repositórios, especialmente onde o contexto de eventos não confiáveis do GitHub é incorporado em prompts ou entradas do agente.^DA
• Isolar logicamente a entrada não confiável do usuário das diretivas do sistema, tratando o texto gerado pelo usuário como dados não confiáveis, e não como instruções autoritativas.^DL

As organizações também devem aplicar o princípio do privilégio mínimo aos segredos dos agentes e implementar monitoramento contínuo de segurança para tentativas de injeção de prompts.^SL

Resposta do GitHub (Situação em 7 de Julho)

De acordo com a Dark Reading e a linha do tempo de divulgação da Noma Security:

• A Noma divulgou a falha de forma responsável ao GitHub.^D
• O GitHub informou à Noma que atualizou a documentação associada ao padrão de fluxo de trabalho vulnerável, e os pesquisadores relataram que a configuração vulnerável não estava mais presente quando verificaram pela última vez.^D
• Em 7 de julho, o GitHub não havia emitido uma declaração pública formal ou um CVE para o GitLost.^D
• A vulnerabilidade parece ter sido parcialmente resolvida por meio da remoção ou revisão da documentação e do modelo de fluxo de trabalho que a viabilizavam, em vez de uma correção de segurança claramente documentada a nível de plataforma.^DN

O Panorama Geral: Um Risco Sistêmico

O GitLost não é um incidente isolado. Ele representa uma classe crescente de vulnerabilidades onde agentes de IA com acesso a dados confidenciais são expostos a conteúdo não confiável do usuário. Problemas semelhantes afetaram integrações do GitHub MCP, fluxos de trabalho do Google Gemini CLI (a vulnerabilidade TrustIssues) e o Claude Code GitHub Actions.^PIU O ponto em comum é que os agentes baseados em LLM não têm uma capacidade inerente de distinguir entre dados e instruções quando ambos aparecem na mesma janela de contexto — um desafio arquitetural fundamental que nenhum patch de plataforma único pode resolver completamente.^DLA