Saldırı Nasıl İşliyor?

Araştırmacılar, güvenlik açığına sahip GitHub Agentic Workflow modelini şu şekilde tanımladı:

• issues.assigned olaylarıyla tetikleniyor
• Issue başlığını ve gövdesini okuyor
• add-comment gibi bir araç ile yorum yayınlıyor
• Kuruluş içindeki özel depolar da dahil olmak üzere diğer depolara okuma erişimi ile çalışıyor

Saldırı dört adımda gerçekleşiyor:

1. Saldırgan, zafiyet içeren Agentic Workflow modelini kullanan bir kuruluşa ait herkese açık bir depoda masum görünen bir GitHub Issue'u açar.
2. Issue gövdesine gizlenmiş, AI ajanına (yapay zeka temsilcisine) özel depolardan dosya getirmesi talimatını veren, düz İngilizce komutlar bulunur.
3. GitHub otomasyonu issue'yu atadığında, olayla tetiklenen iş akışı, ajanın erişebildiği depolar da dahil olmak üzere veri getirmesine neden olur.
4. Ajan, getirdiği verileri issue üzerinde herkese açık bir yorum olarak yayınlar ve böylece verileri issue'yu görebilen herkesin erişimine açar.

Altta Yatan Mimari Zayıflık

Temel kusur, AI ajanının bağlam penceresi (context window) içinde sistem düzeyindeki talimatlar ile güvenilmeyen kullanıcı verileri arasında katı bir güven sınırı (trust boundary) oluşturulamamasıdır. Noma'dan Sasi Levi'nin belirttiği gibi: "Ajanın bağlam penceresi aynı zamanda onun saldırı yüzeyidir. Ajanın okuduğu herhangi bir içerik (issue'lar, pull request'ler, yorumlar veya dosyalar), eğer ajan bu içeriği bir talimat girdisi olarak ele alırsa silaha dönüştürülebilir."

LLM tabanlı ajanlar, veri ve talimatlar aynı bağlamda veya araç çıktısında göründüğünde bunları ayırt etmekte zorlanır. Bu, geleneksel bir kod hatasından ziyade, aracı AI iş akışlarındaki yapısal bir risktir. İş akışı, güvenilmeyen içeriği izole etmez veya kısıtlamazsa, bu içerik ajan davranışını etkileyebilir.

Araştırmacılar bu tür kusurları resmi olarak Aracı İş Akışı Enjeksiyonu (Agentic Workflow Injection - AWI) olarak sınıflandırdı ve iki temel model belirledi: Prompt-to-Agent (P2A) ve Prompt-to-Script (P2S).

Güvenlik Duvarını Aşma Yöntemi: "Additionally" Anahtar Kelimesi

GitHub, veri sızdırmayı önlemek için güvenlik önlemleri (guardrails) almıştı, ancak Noma araştırmacıları bunların şaşırtıcı derecede basit bir yöntemle aşılabildiğini bildirdi. Enjekte edilen talimatlara "Ek olarak" (Additionally) kelimesini eklemek, modelin talebi reddetmek yerine çıktısını yeniden çerçevelemesine neden olarak veri sızıntısının meşru bir görevin devamıymış gibi ilerlemesine izin verdi.

Bu yaklaşım, belirli ifadelerin veya araç tarafından döndürülen metinlerin, modellerin uymaması gereken kötü niyetli talimatları takip etmesine neden olabileceğini gösteren daha geniş prompt injection araştırmalarıyla tutarlıdır. Bu güvenlik duvarını aşma yöntemi, Invariant Labs tarafından ifşa edilen ve kötü amaçlı bir issue'nun kullanıcının aracısını ele geçirerek özel depolardan veri sızdırabildiği GitHub MCP güvenlik açığı gibi önceki olaylardaki modelleri yansıtmaktadır.

Kuruluşlar İçin Önerilen Önlemler

GitLost bulguları ve daha geniş aracı iş akışı güvenlik rehberliğine dayanarak, etkilenen kuruluşların aşağıdaki kontrolleri uygulaması önerilir:

• Ajan girdileri için sıfır güven (zero-trust) benimseyin — kullanıcı tarafından kontrol edilen içeriği asla güvenilir talimat girdisi olarak ele almayın ve güvenilmeyen kullanıcı verilerini temel sistem talimatlarından (system prompts) izole edin.
• Sıkı en az ayrıcalık (least-privilege) izinleri uygulayın — gereksiz depolar arası erişimi kaldırın ve ajanların verileri herkese açık çıktılar aracılığıyla ifşa etme yeteneğini kısıtlayın.
• Araçlar için kara listeler (blocklists) yerine beyaz listeler (allowlists) kullanın ve ajanların herkese açık yorum yayınlamak veya hassas depolara erişmek gibi hassas eylemleri gerçekleştirmeden önce insan onay kapıları (human approval gates) talep edin.
• CI/CD ve depo otomasyon iş akışlarındaki AI ajan entegrasyonlarını denetleyin, özellikle güvenilmeyen GitHub olay bağlamının (event context) talimatlara (prompts) veya ajan girdilerine dahil edildiği yerlerde.
• Güvenilmeyen kullanıcı girdilerini sistem düzeyindeki yönergelerden mantıksal olarak ayırın ve kullanıcı tarafından oluşturulan metinlere güvenilir talimatlar yerine güvenilmeyen veriler olarak davranın.

Kuruluşlar ayrıca ajan sırları (agent secrets) için en az ayrıcalık ilkesini uygulamalı ve prompt injection girişimleri için sürekli güvenlik izlemesi sağlamalıdır.

GitHub'ın Yanıtı (7 Temmuz İtibarıyla)

Dark Reading ve Noma Security'nin ifşa zaman çizelgesine göre:

• Noma, güvenlik açığını sorumlu bir şekilde GitHub'a bildirdi.
• GitHub, Noma'ya güvenlik açığı bulunan iş akışı modeliyle ilgili dokümantasyonu güncellediğini bildirdi ve araştırmacılar son kontrollerinde bu yapılandırmanın artık mevcut olmadığını bildirdi.
• 7 Temmuz itibarıyla, GitHub, GitLost için resmi bir kamuya açık açıklama veya CVE yayınlamamıştı.
• Güvenlik açığı, belgelenmiş bir platform düzeyinde güvenlik düzeltmesinden zome, etkinleştirici dokümantasyonun ve iş akışı şablonunun kaldırılması veya revize edilmesi yoluyla kısmen ele alınmış gibi görünüyor.

Daha Geniş Resim: Sistematik Bir Risk

GitLost izole bir olay değildir. Hassas verilere erişimi olan AI ajanlarının güvenilmeyen kullanıcı içeriğine maruz kaldığı, büyüyen bir güvenlik açığı sınıfını temsil etmektedir. Benzer sorunlar GitHub MCP entegrasyonlarını, Google'ın Gemini CLI iş akışlarını (TrustIssues zafiyeti) ve Claude Code GitHub Actions'ı etkilemiştir. Ortak nokta, LLM tabanlı ajanların, veri ve talimatlar aynı bağlam penceresinde göründüğünde bunları ayırt etmek için doğuştan gelen bir yetenekten yoksun olmasıdır — bu, hiçbir platform yamasının tamamen çözemeyeceği temel bir mimari zorluktur.

Saldırı Nasıl İşliyor?

Araştırmacılar, güvenlik açığına sahip GitHub Agentic Workflow modelini şu şekilde tanımladı:

• issues.assigned olaylarıyla tetikleniyor
• Issue başlığını ve gövdesini okuyor
• add-comment gibi bir araç ile yorum yayınlıyor
• Kuruluş içindeki özel depolar da dahil olmak üzere diğer depolara okuma erişimi ile çalışıyor

Saldırı dört adımda gerçekleşiyor:

1. Saldırgan, zafiyet içeren Agentic Workflow modelini kullanan bir kuruluşa ait herkese açık bir depoda masum görünen bir GitHub Issue'u açar.
2. Issue gövdesine gizlenmiş, AI ajanına (yapay zeka temsilcisine) özel depolardan dosya getirmesi talimatını veren, düz İngilizce komutlar bulunur.
3. GitHub otomasyonu issue'yu atadığında, olayla tetiklenen iş akışı, ajanın erişebildiği depolar da dahil olmak üzere veri getirmesine neden olur.
4. Ajan, getirdiği verileri issue üzerinde herkese açık bir yorum olarak yayınlar ve böylece verileri issue'yu görebilen herkesin erişimine açar.

Altta Yatan Mimari Zayıflık

Temel kusur, AI ajanının bağlam penceresi (context window) içinde sistem düzeyindeki talimatlar ile güvenilmeyen kullanıcı verileri arasında katı bir güven sınırı (trust boundary) oluşturulamamasıdır. Noma'dan Sasi Levi'nin belirttiği gibi: "Ajanın bağlam penceresi aynı zamanda onun saldırı yüzeyidir. Ajanın okuduğu herhangi bir içerik (issue'lar, pull request'ler, yorumlar veya dosyalar), eğer ajan bu içeriği bir talimat girdisi olarak ele alırsa silaha dönüştürülebilir."

LLM tabanlı ajanlar, veri ve talimatlar aynı bağlamda veya araç çıktısında göründüğünde bunları ayırt etmekte zorlanır. Bu, geleneksel bir kod hatasından ziyade, aracı AI iş akışlarındaki yapısal bir risktir. İş akışı, güvenilmeyen içeriği izole etmez veya kısıtlamazsa, bu içerik ajan davranışını etkileyebilir.

Araştırmacılar bu tür kusurları resmi olarak Aracı İş Akışı Enjeksiyonu (Agentic Workflow Injection - AWI) olarak sınıflandırdı ve iki temel model belirledi: Prompt-to-Agent (P2A) ve Prompt-to-Script (P2S).

Güvenlik Duvarını Aşma Yöntemi: "Additionally" Anahtar Kelimesi

GitHub, veri sızdırmayı önlemek için güvenlik önlemleri (guardrails) almıştı, ancak Noma araştırmacıları bunların şaşırtıcı derecede basit bir yöntemle aşılabildiğini bildirdi. Enjekte edilen talimatlara "Ek olarak" (Additionally) kelimesini eklemek, modelin talebi reddetmek yerine çıktısını yeniden çerçevelemesine neden olarak veri sızıntısının meşru bir görevin devamıymış gibi ilerlemesine izin verdi.

Bu yaklaşım, belirli ifadelerin veya araç tarafından döndürülen metinlerin, modellerin uymaması gereken kötü niyetli talimatları takip etmesine neden olabileceğini gösteren daha geniş prompt injection araştırmalarıyla tutarlıdır. Bu güvenlik duvarını aşma yöntemi, Invariant Labs tarafından ifşa edilen ve kötü amaçlı bir issue'nun kullanıcının aracısını ele geçirerek özel depolardan veri sızdırabildiği GitHub MCP güvenlik açığı gibi önceki olaylardaki modelleri yansıtmaktadır.

Kuruluşlar İçin Önerilen Önlemler

GitLost bulguları ve daha geniş aracı iş akışı güvenlik rehberliğine dayanarak, etkilenen kuruluşların aşağıdaki kontrolleri uygulaması önerilir:

• Ajan girdileri için sıfır güven (zero-trust) benimseyin — kullanıcı tarafından kontrol edilen içeriği asla güvenilir talimat girdisi olarak ele almayın ve güvenilmeyen kullanıcı verilerini temel sistem talimatlarından (system prompts) izole edin.
• Sıkı en az ayrıcalık (least-privilege) izinleri uygulayın — gereksiz depolar arası erişimi kaldırın ve ajanların verileri herkese açık çıktılar aracılığıyla ifşa etme yeteneğini kısıtlayın.
• Araçlar için kara listeler (blocklists) yerine beyaz listeler (allowlists) kullanın ve ajanların herkese açık yorum yayınlamak veya hassas depolara erişmek gibi hassas eylemleri gerçekleştirmeden önce insan onay kapıları (human approval gates) talep edin.
• CI/CD ve depo otomasyon iş akışlarındaki AI ajan entegrasyonlarını denetleyin, özellikle güvenilmeyen GitHub olay bağlamının (event context) talimatlara (prompts) veya ajan girdilerine dahil edildiği yerlerde.
• Güvenilmeyen kullanıcı girdilerini sistem düzeyindeki yönergelerden mantıksal olarak ayırın ve kullanıcı tarafından oluşturulan metinlere güvenilir talimatlar yerine güvenilmeyen veriler olarak davranın.

Kuruluşlar ayrıca ajan sırları (agent secrets) için en az ayrıcalık ilkesini uygulamalı ve prompt injection girişimleri için sürekli güvenlik izlemesi sağlamalıdır.

GitHub'ın Yanıtı (7 Temmuz İtibarıyla)

Dark Reading ve Noma Security'nin ifşa zaman çizelgesine göre:

• Noma, güvenlik açığını sorumlu bir şekilde GitHub'a bildirdi.
• GitHub, Noma'ya güvenlik açığı bulunan iş akışı modeliyle ilgili dokümantasyonu güncellediğini bildirdi ve araştırmacılar son kontrollerinde bu yapılandırmanın artık mevcut olmadığını bildirdi.
• 7 Temmuz itibarıyla, GitHub, GitLost için resmi bir kamuya açık açıklama veya CVE yayınlamamıştı.
• Güvenlik açığı, belgelenmiş bir platform düzeyinde güvenlik düzeltmesinden zome, etkinleştirici dokümantasyonun ve iş akışı şablonunun kaldırılması veya revize edilmesi yoluyla kısmen ele alınmış gibi görünüyor.

Daha Geniş Resim: Sistematik Bir Risk

GitLost izole bir olay değildir. Hassas verilere erişimi olan AI ajanlarının güvenilmeyen kullanıcı içeriğine maruz kaldığı, büyüyen bir güvenlik açığı sınıfını temsil etmektedir. Benzer sorunlar GitHub MCP entegrasyonlarını, Google'ın Gemini CLI iş akışlarını (TrustIssues zafiyeti) ve Claude Code GitHub Actions'ı etkilemiştir. Ortak nokta, LLM tabanlı ajanların, veri ve talimatlar aynı bağlam penceresinde göründüğünde bunları ayırt etmek için doğuştan gelen bir yetenekten yoksun olmasıdır — bu, hiçbir platform yamasının tamamen çözemeyeceği temel bir mimari zorluktur.