Celah AI Agent GitHub: Satu Kalimat dalam Isu Bisa Mencuri Data Pribadi

Eksploitasi GitLost dari Noma Security adalah serangan injeksi prompt yang menargetkan Alur Kerja Agen GitHub, yang memungkinkan penyerang mencuri data pribadi tanpa keterampilan peretasan. Alur kerja yang rentan, yang dikonfigurasi untuk berjalan pada peristiwa issues.assigned, membaca judul dan isi masalah, membalas melalui alat add-comment, dan memiliki izin baca untuk repositori lain dalam organisasi, termasuk yang pribadi. Penyerang hanya perlu membuat masalah di repositori publik organisasi yang menggunakan alur kerja rentan dan menunggu; tidak diperlukan kredensial atau akses. Meskipun mekanisme perlindungan ketat GitHub, penggunaan kata kunci 'Additionally' memicu perilaku model yang tidak terduga, menyebabkannya mengakses file terbatas dan memublikasikan isinya dalam komentar publik. Model keamanan tradisional menganggap kode mempertahankan batas kepercayaan, tetapi dalam sistem agen, kepercayaan sebagian bergantung pada perilaku model, yang secara inheren mengikuti instruksi. Injeksi prompt dalam AI agen menjadi seperti injeksi SQL dalam aplikasi web: kerentanan sistematis di seluruh kelas yang memerlukan pertahanan sistematis. Noma merekomendasikan untuk memperlakukan konten yang dikendalikan pengguna sebagai input yang tidak tepercaya, membatasi izin agen seminimal mungkin, membatasi pengungkapan publik, dan membersihkan atau mengisolasi input pengguna dari konteks instruksi. Anggota komunitas mencatat bahwa repositori pribadi bukanlah batas keamanan ketika agen memiliki akses, dan bahwa bypass 'Additionally' adalah masalah batas keputusan, bukan masalah konten.