GitHub-KI-Agent für Prompt-Injection-Angriff anfällig

Laut einer Studie von Noma Security kann ein Prompt-Injection-Angriff die Beta-Version von GitHub's Agentic Workflows dazu bringen, Inhalte aus privaten Repositories zu extrahieren und öffentlich zu veröffentlichen. Der Angriff mit dem Namen GitLost wurde in einem Blogbeitrag der KI-Sicherheitsfirma detailliert beschrieben. Noma erklärt, dass ein nicht authentifizierter Angreifer die Vorschauversion ausnutzen könnte, indem er ein speziell gestaltetes GitHub-Issue in einem öffentlichen Repository einreicht. Wenn der KI-Agent Lesezugriff auf private Repositories innerhalb derselben Organisation hat, kann er sensible Informationen extrahieren und in einem öffentlichen Kommentar posten. Die Agentic Workflows kombinieren GitHub Actions mit KI-Modellen wie Claude oder GitHub Copilot und ermöglichen es Entwicklern, Workflows in Markdown zu definieren. Der Angriff beruhte nicht auf gestohlenen Zugangsdaten, Malware oder Softwarefehlern; stattdessen wurden versteckte Anweisungen in einem GitHub-Issue eingebettet. Die Forscher demonstrierten den Angriff, indem sie ein scheinbar normales Issue erstellten, und der KI-Agent holte eine README-Datei aus einem privaten Repository und veröffentlichte sie öffentlich. Sie umgingen auch GitHub's promptbasierte Sicherheitsmaßnahmen mit leichten Formulierungsänderungen. GitHub reagierte nicht auf Anfragen um Stellungnahme. Noma merkt an, dass GitLost eine grundlegende architektonische Herausforderung für KI-Agenten hervorhebt: Jeder Agent mit Zugriff auf nicht vertrauenswürdige externe Inhalte und sensible interne Ressourcen kann zu einer unbeabsichtigten Brücke zwischen ihnen werden, wenn Vertrauensgrenzen nicht respektiert werden. Sicherheitsforscher Vibhum Dubey argumentiert, dass das Problem nicht nur Prompt-Injection ist, sondern dass GitHub Agenten Berechtigungen erteilt, bevor deren Sicherheit gewährleistet ist, und dabei ein Service-Konto-Autorisierungsmodell anstelle eines Benutzermodells verwendet. Dubey empfiehlt explizite Whitelists für Repositories, die Validierung aller Benutzereingaben, bevor sie das LLM erreichen, und einen Notfall-Stopp-Mechanismus.