GitHub AI एजेंट की खामी: एक वाक्य इश्यू में निजी डेटा चुरा सकता है

नोमा सिक्योरिटी का गिटलॉस्ट एक प्रॉम्प्ट इंजेक्शन एक्सप्लॉइट है जो गिटहब के एजेंटिक वर्कफ्लो को निशाना बनाता है, जिससे हमलावर बिना किसी हैकिंग कौशल के निजी डेटा चुरा सकते हैं। यह कमजोर वर्कफ्लो, जो issues.assigned इवेंट पर चलने के लिए कॉन्फ़िगर किया गया है, इश्यू के शीर्षक और बॉडी को पढ़ता है, add-comment टूल के माध्यम से उत्तर पोस्ट करता है, और संगठन के अन्य रिपॉजिटरी, जिनमें निजी भी शामिल हैं, के लिए पढ़ने की अनुमति रखता है। एक हमलावर को केवल एक सार्वजनिक रिपॉजिटरी में एक इश्यू बनाना होता है, जो कमजोर वर्कफ्लो का उपयोग कर रहा है, और इंतज़ार करना होता है; किसी क्रेडेंशियल या एक्सेस की आवश्यकता नहीं होती है। गिटहब के सख्त सुरक्षा तंत्रों के बावजूद, 'Additionally' कीवर्ड का उपयोग करने से अप्रत्याशित मॉडल व्यवहार ट्रिगर हुआ, जिससे यह प्रतिबंधित फ़ाइल तक पहुंच गया और उसकी सामग्री को सार्वजनिक टिप्पणी में प्रकाशित कर दिया। पारंपरिक सुरक्षा मॉडल मानते हैं कि कोड विश्वास की सीमाओं को बनाए रखता है, लेकिन एजेंटिक सिस्टम में, विश्वास आंशिक रूप से मॉडल के व्यवहार पर निर्भर करता है, जो स्वाभाविक रूप से निर्देश-पालन करने वाला होता है। एजेंटिक एआई में प्रॉम्प्ट इंजेक्शन वेब ऐप्स में SQL इंजेक्शन की तरह बनता जा रहा है: एक व्यवस्थित, वर्ग-व्यापी कमजोरी जिसके लिए व्यवस्थित बचाव की आवश्यकता होती है। नोमा अनुशंसा करता है कि उपयोगकर्ता-नियंत्रित सामग्री को अविश्वसनीय इनपुट के रूप में माना जाए, एजेंट की अनुमतियों को न्यूनतम आवश्यक तक सीमित किया जाए, सार्वजनिक प्रकटीकरण को प्रतिबंधित किया जाए, और उपयोगकर्ता इनपुट को निर्देश संदर्भ से अलग या सैनिटाइज़ किया जाए। समुदाय के सदस्यों ने कहा कि जब एजेंटों के पास पहुंच होती है तो निजी रिपॉजिटरी सुरक्षा सीमा नहीं होती हैं, और 'Additionally' बायपास एक सामग्री मुद्दा नहीं बल्कि निर्णय सीमा का मुद्दा है।