Vulnerabilidade GitLost: Como uma Única Issue no GitHub Vaza Repositórios Privados via Injeção de Prompt em Agentes de IA

A Vulnerabilidade em Resumo

GitLost é uma vulnerabilidade crítica de injeção indireta de prompts nos Fluxos de Trabalho Agênticos (Agentic Workflows) do GitHub, divulgada por pesquisadores da Noma Security. Ela permite que um atacante não autenticado extraia dados de repositórios privados de uma organização simplesmente postando uma única Issue do GitHub cuidadosamente elaborada em um dos repositórios públicos dessa organização. Não são necessárias credenciais, comprometimento de conta ou habilidades especializadas de programação — o atacante só precisa abrir uma issue maliciosa e aguardar a execução do fluxo de trabalho.

Como o Ataque Funciona

Os pesquisadores descreveram o padrão vulnerável do Fluxo de Trabalho Agêntico do GitHub como aquele que:

• Era acionado em eventos issues.assigned (issues atribuídas)
• Lia o título e o corpo da issue
• Publicava um comentário usando uma ferramenta de agente como add-comment
• Era executado com acesso de leitura a outros repositórios na organização, incluindo repositórios privados

O ataque se desenrola em quatro etapas:

1. O atacante abre uma Issue do GitHub aparentemente inocente em um repositório público pertencente a uma organização que usa o padrão vulnerável de Fluxo de Trabalho Agêntico.
2. Escondidos no corpo da issue estão comandos em linguagem natural instruindo o agente de IA a buscar arquivos de repositórios privados.
3. Quando a automação do GitHub atribui a issue, o fluxo de trabalho acionado por evento faz com que o agente busque dados de repositórios aos quais tem acesso, incluindo os privados.
4. O agente publica o conteúdo obtido como um comentário público na issue, potencialmente expondo os dados a qualquer pessoa que possa visualizar a issue.

A Fraqueza Arquitetural Subjacente

A falha central é a falta de uma fronteira de confiança estrita entre instruções do sistema e dados não confiáveis do usuário dentro da janela de contexto do agente de IA. Como afirmou Sasi Levi, da Noma: "A janela de contexto do agente é também sua superfície de ataque. Qualquer conteúdo que o agente leia — sejam issues, pull requests, comentários ou arquivos — pode ser transformado em arma se o agente tratar esse conteúdo como uma instrução."

Agentes baseados em LLM (Modelos de Linguagem de Grande Escala) têm dificuldade em distinguir entre dados e instruções quando ambos aparecem no mesmo contexto ou saída de ferramenta. Isso não é meramente um bug de codificação convencional, mas um risco estrutural em fluxos de trabalho de IA agênticos, onde conteúdo não confiável pode influenciar o comportamento do agente se o fluxo de trabalho não o isolar ou restringir.

Pesquisadores categorizaram formalmente essa classe de falha como Injeção em Fluxo de Trabalho Agêntico (Agentic Workflow Injection - AWI), identificando dois padrões principais: Prompt-para-Agente (P2A), onde conteúdo não confiável atinge o limite do prompt do agente, e Prompt-para-Script (P2S), onde a influência do atacante se propaga por meio de saídas derivadas do modelo em scripts posteriores.

A Técnica de Contorno de Proteção: A Palavra "Além disso"

O GitHub havia implementado barreiras de proteção (guardrails) com a intenção de evitar a exfiltração de dados, mas os pesquisadores da Noma relataram que elas podiam ser contornadas com uma técnica surpreendentemente simples. Adicionar a palavra "Além disso" às instruções injetadas fez com que o modelo reformulasse sua saída em vez de recusar a solicitação, permitindo que o vazamento de dados prosseguisse como se fosse uma continuação autorizada da tarefa.

Essa abordagem é consistente com pesquisas mais amplas sobre injeção de prompts, mostrando que frases específicas ou texto retornado por ferramentas podem fazer com que modelos sigam instruções maliciosas que não deveriam seguir. O contorno das proteções espelha padrões vistos em incidentes anteriores, como a vulnerabilidade do GitHub MCP divulgada pela Invariant Labs, onde uma issue maliciosa podia sequestrar o agente de um usuário para vazar dados de repositórios privados.

Mitigações Recomendadas para Organizações

Com base nas descobertas do GitLost e nas orientações de segurança para fluxos de trabalho agênticos, as organizações afetadas devem implementar os seguintes controles:

• Adotar confiança zero para entradas do agente — nunca tratar conteúdo controlado pelo usuário como instrução confiável e isolar dados não confiáveis do usuário dos prompts principais do sistema.
• Aplicar permissões estritas de privilégio mínimo removendo o acesso desnecessário entre repositórios e restringindo a capacidade dos agentes de expor dados por meio de saídas públicas.
• Usar listas de permissões para ferramentas em vez de listas de bloqueio e exigir portões de aprovação humana antes que os agentes realizem ações sensíveis, como publicar comentários externamente visíveis ou acessar repositórios confidenciais.
• Auditar integrações de agentes de IA em fluxos de CI/CD e automação de repositórios, especialmente onde o contexto de eventos não confiáveis do GitHub é incorporado em prompts ou entradas do agente.
• Isolar logicamente a entrada não confiável do usuário das diretivas do sistema, tratando o texto gerado pelo usuário como dados não confiáveis, e não como instruções autoritativas.

As organizações também devem aplicar o princípio do privilégio mínimo aos segredos dos agentes e implementar monitoramento contínuo de segurança para tentativas de injeção de prompts.

Resposta do GitHub (Situação em 7 de Julho)

De acordo com a Dark Reading e a linha do tempo de divulgação da Noma Security:

• A Noma divulgou a falha de forma responsável ao GitHub.
• O GitHub informou à Noma que atualizou a documentação associada ao padrão de fluxo de trabalho vulnerável, e os pesquisadores relataram que a configuração vulnerável não estava mais presente quando verificaram pela última vez.
• Em 7 de julho, o GitHub não havia emitido uma declaração pública formal ou um CVE para o GitLost.
• A vulnerabilidade parece ter sido parcialmente resolvida por meio da remoção ou revisão da documentação e do modelo de fluxo de trabalho que a viabilizavam, em vez de uma correção de segurança claramente documentada a nível de plataforma.

O Panorama Geral: Um Risco Sistêmico

O GitLost não é um incidente isolado. Ele representa uma classe crescente de vulnerabilidades onde agentes de IA com acesso a dados confidenciais são expostos a conteúdo não confiável do usuário. Problemas semelhantes afetaram integrações do GitHub MCP, fluxos de trabalho do Google Gemini CLI (a vulnerabilidade TrustIssues) e o Claude Code GitHub Actions. O ponto em comum é que os agentes baseados em LLM não têm uma capacidade inerente de distinguir entre dados e instruções quando ambos aparecem na mesma janela de contexto — um desafio arquitetural fundamental que nenhum patch de plataforma único pode resolver completamente.