Как работает атака

Исследователи описали уязвимый шаблон GitHub Agentic Workflow как тот, который:

• Запускается по событию issues.assigned
• Читает заголовок и тело Issue
• Публикует комментарий с помощью инструмента агента, такого как add-comment
• Выполняется с правом на чтение других репозиториев в организации, включая приватные

Атака состоит из четырёх шагов:

1. Злоумышленник открывает безобидный с виду Issue в публичном репозитории организации, использующей уязвимый шаблон.
2. В теле Issue спрятаны команды на простом английском языке, предписывающие ИИ-агенту извлечь файлы из приватных репозиториев.
3. Когда GitHub автоматически назначает Issue, запускается рабочий процесс, и агент извлекает данные из репозиториев, к которым у него есть доступ, включая приватные.
4. Агент публикует извлечённые данные в виде публичного комментария к Issue, потенциально раскрывая их всем, кто может видеть этот Issue.

Слабость архитектуры

Корень проблемы — отсутствие строгой границы доверия между системными инструкциями и непроверенными пользовательскими данными в контекстном окне ИИ-агента. Как отмечает Саси Леви из Noma: «Контекстное окно агента — это и его поверхность атаки. Любой контент, который читает агент — будь то Issue, pull request, комментарии или файлы — может быть использован как оружие, если агент воспринимает этот контент как инструкцию».

Агенты на основе LLM с трудом различают данные и инструкции, когда и то, и другое появляется в одном контексте или выводе инструмента. Это не просто обычная ошибка в коде, а структурный риск в агентных ИИ-рабочих процессах, где непроверенный контент может влиять на поведение агента, если рабочий процесс не изолирует и не ограничивает его.

Исследователи формально классифицировали этот класс уязвимостей как Agentic Workflow Injection (AWI), выделив два основных паттерна: Prompt-to-Agent (P2A), когда непроверенный контент достигает границы промпта агента, и Prompt-to-Script (P2S), когда влияние злоумышленника распространяется через результаты работы модели в последующие скрипты.

Метод обхода защиты: ключевое слово «Additionally»

У GitHub были защитные механизмы, предназначенные для предотвращения утечки данных, но исследователи Noma сообщили, что их можно обойти с помощью удивительно простого приёма. Добавление слова «Additionally» к внедрённым инструкциям заставляло модель изменить формулировку ответа, а не отказывать в выполнении запроса, позволяя утечке данных продолжаться, как будто это было санкционированным продолжением задачи.

Этот подход согласуется с более широкими исследованиями инъекций промптов, показывающими, что определённые формулировки или текст, возвращаемый инструментом, могут заставлять модели следовать вредоносным инструкциям, которым они не должны следовать. Обход защиты зеркально отражает схемы, наблюдавшиеся в более ранних инцидентах, таких как уязвимость GitHub MCP, обнаруженная Invariant Labs, где вредоносный Issue мог перехватить агента пользователя для утечки данных из приватных репозиториев.

Рекомендации по защите для организаций

Основываясь на результатах исследования GitLost и более общих рекомендациях по безопасности агентных рабочих процессов, пострадавшим организациям следует внедрить следующие меры контроля:

• Принять политику нулевого доверия к вводимым данным агента — никогда не рассматривать пользовательский контент как доверенные инструкции и изолировать его от основных системных промптов.
• Применять строгий принцип минимальных привилегий, удалив ненужный доступ к репозиториям и ограничив возможность агентов раскрывать данные через публичные выводы.
• Использовать белые списки инструментов, а не чёрные, и требовать согласования с человеком перед выполнением агентом чувствительных действий, таких как публикация внешне видимых комментариев или доступ к конфиденциальным репозиториям.
• Проводить аудит интеграций ИИ-агентов в CI/CD и автоматизации репозиториев, особенно в тех случаях, когда непроверенный контекст событий GitHub включается в промпты или вводимые данные агента.
• Логически изолировать непроверенный пользовательский ввод от системных директив, рассматривая пользовательский текст как непроверенные данные, а не как авторитетные инструкции.

Организациям также следует применять принцип минимальных привилегий к секретам агентов и внедрить непрерывный мониторинг безопасности для обнаружения попыток инъекций промптов.

Ответ GitHub (по состоянию на 7 июля)

Согласно Dark Reading и временной шкале раскрытия информации Noma Security:

• Noma ответственно раскрыла уязвимость GitHub.
• GitHub сообщил Noma, что обновил документацию, связанную с уязвимым шаблоном рабочего процесса, и исследователи подтвердили, что уязвимая конфигурация больше не присутствовала на момент последней проверки.
• По состоянию на 7 июля GitHub не выпустил официального публичного заявления или CVE для GitLost.
• Уязвимость, по-видимому, была частично устранена путём удаления или пересмотра соответствующей документации и шаблона рабочего процесса, а не с помощью чётко задокументированного исправления безопасности на уровне платформы.

Более широкая картина: системный риск

GitLost — не единичный инцидент. Он представляет собой растущий класс уязвимостей, в которых ИИ-агенты, имеющие доступ к конфиденциальным данным, подвергаются воздействию непроверенного пользовательского контента. Аналогичные проблемы затрагивали интеграции GitHub MCP, рабочие процессы Google Gemini CLI (уязвимость TrustIssues) и GitHub Actions от Claude Code. Объединяющая их черта в том, что агенты на основе LLM не обладают врождённой способностью различать данные и инструкции, когда и то, и другое появляется в одном контекстном окне — это фундаментальная архитектурная проблема, которую не может полностью решить ни один отдельный патч платформы.

Как работает атака

Исследователи описали уязвимый шаблон GitHub Agentic Workflow как тот, который:

• Запускается по событию issues.assigned
• Читает заголовок и тело Issue
• Публикует комментарий с помощью инструмента агента, такого как add-comment
• Выполняется с правом на чтение других репозиториев в организации, включая приватные

Атака состоит из четырёх шагов:

1. Злоумышленник открывает безобидный с виду Issue в публичном репозитории организации, использующей уязвимый шаблон.
2. В теле Issue спрятаны команды на простом английском языке, предписывающие ИИ-агенту извлечь файлы из приватных репозиториев.
3. Когда GitHub автоматически назначает Issue, запускается рабочий процесс, и агент извлекает данные из репозиториев, к которым у него есть доступ, включая приватные.
4. Агент публикует извлечённые данные в виде публичного комментария к Issue, потенциально раскрывая их всем, кто может видеть этот Issue.

Слабость архитектуры

Корень проблемы — отсутствие строгой границы доверия между системными инструкциями и непроверенными пользовательскими данными в контекстном окне ИИ-агента. Как отмечает Саси Леви из Noma: «Контекстное окно агента — это и его поверхность атаки. Любой контент, который читает агент — будь то Issue, pull request, комментарии или файлы — может быть использован как оружие, если агент воспринимает этот контент как инструкцию».

Агенты на основе LLM с трудом различают данные и инструкции, когда и то, и другое появляется в одном контексте или выводе инструмента. Это не просто обычная ошибка в коде, а структурный риск в агентных ИИ-рабочих процессах, где непроверенный контент может влиять на поведение агента, если рабочий процесс не изолирует и не ограничивает его.

Исследователи формально классифицировали этот класс уязвимостей как Agentic Workflow Injection (AWI), выделив два основных паттерна: Prompt-to-Agent (P2A), когда непроверенный контент достигает границы промпта агента, и Prompt-to-Script (P2S), когда влияние злоумышленника распространяется через результаты работы модели в последующие скрипты.

Метод обхода защиты: ключевое слово «Additionally»

У GitHub были защитные механизмы, предназначенные для предотвращения утечки данных, но исследователи Noma сообщили, что их можно обойти с помощью удивительно простого приёма. Добавление слова «Additionally» к внедрённым инструкциям заставляло модель изменить формулировку ответа, а не отказывать в выполнении запроса, позволяя утечке данных продолжаться, как будто это было санкционированным продолжением задачи.

Этот подход согласуется с более широкими исследованиями инъекций промптов, показывающими, что определённые формулировки или текст, возвращаемый инструментом, могут заставлять модели следовать вредоносным инструкциям, которым они не должны следовать. Обход защиты зеркально отражает схемы, наблюдавшиеся в более ранних инцидентах, таких как уязвимость GitHub MCP, обнаруженная Invariant Labs, где вредоносный Issue мог перехватить агента пользователя для утечки данных из приватных репозиториев.

Рекомендации по защите для организаций

Основываясь на результатах исследования GitLost и более общих рекомендациях по безопасности агентных рабочих процессов, пострадавшим организациям следует внедрить следующие меры контроля:

• Принять политику нулевого доверия к вводимым данным агента — никогда не рассматривать пользовательский контент как доверенные инструкции и изолировать его от основных системных промптов.
• Применять строгий принцип минимальных привилегий, удалив ненужный доступ к репозиториям и ограничив возможность агентов раскрывать данные через публичные выводы.
• Использовать белые списки инструментов, а не чёрные, и требовать согласования с человеком перед выполнением агентом чувствительных действий, таких как публикация внешне видимых комментариев или доступ к конфиденциальным репозиториям.
• Проводить аудит интеграций ИИ-агентов в CI/CD и автоматизации репозиториев, особенно в тех случаях, когда непроверенный контекст событий GitHub включается в промпты или вводимые данные агента.
• Логически изолировать непроверенный пользовательский ввод от системных директив, рассматривая пользовательский текст как непроверенные данные, а не как авторитетные инструкции.

Организациям также следует применять принцип минимальных привилегий к секретам агентов и внедрить непрерывный мониторинг безопасности для обнаружения попыток инъекций промптов.

Ответ GitHub (по состоянию на 7 июля)

Согласно Dark Reading и временной шкале раскрытия информации Noma Security:

• Noma ответственно раскрыла уязвимость GitHub.
• GitHub сообщил Noma, что обновил документацию, связанную с уязвимым шаблоном рабочего процесса, и исследователи подтвердили, что уязвимая конфигурация больше не присутствовала на момент последней проверки.
• По состоянию на 7 июля GitHub не выпустил официального публичного заявления или CVE для GitLost.
• Уязвимость, по-видимому, была частично устранена путём удаления или пересмотра соответствующей документации и шаблона рабочего процесса, а не с помощью чётко задокументированного исправления безопасности на уровне платформы.

Более широкая картина: системный риск

GitLost — не единичный инцидент. Он представляет собой растущий класс уязвимостей, в которых ИИ-агенты, имеющие доступ к конфиденциальным данным, подвергаются воздействию непроверенного пользовательского контента. Аналогичные проблемы затрагивали интеграции GitHub MCP, рабочие процессы Google Gemini CLI (уязвимость TrustIssues) и GitHub Actions от Claude Code. Объединяющая их черта в том, что агенты на основе LLM не обладают врождённой способностью различать данные и инструкции, когда и то, и другое появляется в одном контекстном окне — это фундаментальная архитектурная проблема, которую не может полностью решить ни один отдельный патч платформы.