Sicherheitslücke im GitHub-KI-Agenten: Ein Satz in einem Issue kann private Daten stehlen

Der Prompt-Injection-Exploit GitLost von Noma Security zielt auf GitHub's Agentic Workflows ab und ermöglicht es Angreifern, private Daten zu stehlen, ohne über Hacking-Fähigkeiten zu verfügen. Der verwundbare Workflow, der für die Ausführung bei issues.assigned-Ereignissen konfiguriert ist, liest die Titel und Texte von Issues, veröffentlicht Antworten über das add-comment-Tool und verfügt über Leseberechtigungen für andere Repositories in der Organisation, einschließlich privater. Ein Angreifer muss lediglich ein Issue in einem öffentlichen Repository einer Organisation erstellen, die den verwundbaren Workflow nutzt, und dann warten; es sind keine Anmeldeinformationen oder Zugriffsrechte erforderlich. Trotz der strengen Schutzmechanismen von GitHub führte die Verwendung des Schlüsselworts 'Additionally' zu unerwartetem Modellverhalten, wodurch das Modell auf eine eingeschränkte Datei zugreifen und deren Inhalt in einem öffentlichen Kommentar veröffentlichen konnte. Traditionelle Sicherheitsmodelle gehen davon aus, dass Code Vertrauensgrenzen aufrechterhält, aber in agentischen Systemen hängt Vertrauen teilweise vom Modellverhalten ab, das von Natur aus anweisungsbefolgend ist. Prompt Injection in agentischer KI wird immer mehr zu einem systematischen, klassenweiten Schwachstellentyp ähnlich wie SQL-Injection in Webanwendungen, der systematische Abwehrmaßnahmen erfordert. Noma empfiehlt, benutzergenerierte Inhalte als nicht vertrauenswürdige Eingaben zu behandeln, Agentenberechtigungen auf das notwendige Minimum zu beschränken, öffentliche Offenlegungen zu begrenzen und Benutzereingaben von Anweisungskontexten zu bereinigen oder zu isolieren. Community-Mitglieder merkten an, dass private Repositories keine Sicherheitsgrenze darstellen, wenn Agenten Zugriff haben, und dass der 'Additionally'-Workaround ein Entscheidungsgrenzenproblem ist, kein Inhaltsproblem.