GitHub AIエージェントの欠陥: イシュー内の一文でプライベートデータが盗まれる可能性

Noma SecurityのGitLostは、GitHubのAgentic Workflowsを標的にしたプロンプトインジェクションエクスプロイトであり、攻撃者はハッキングスキルを持たなくてもプライベートデータを盗むことができます。この脆弱なワークフローは、issues.assignedイベントで実行されるように設定されており、issueのタイトルと本文を読み取り、add-commentツールを介して返信を投稿し、組織内の他のリポジトリ（プライベートリポジトリを含む）に対して読み取り権限を持っています。攻撃者は、脆弱なワークフローを使用している組織のパブリックリポジトリにissueを作成して待つだけでよく、資格情報やアクセス権は一切不要です。GitHubの厳格な保護メカニズムにもかかわらず、「Additionally」というキーワードを使用することで予期しないモデルの動作が引き起こされ、制限されたファイルにアクセスしてその内容を公開コメントで公開してしまいました。従来のセキュリティモデルではコードが信頼境界を維持すると想定されていますが、エージェント型システムでは、信頼は部分的にモデルの動作に依存しており、モデルは本質的に指示に従うものです。エージェント型AIにおけるプロンプトインジェクションは、WebアプリにおけるSQLインジェクションのようになりつつあります。それは、体系的な防御を必要とする、クラス全体にわたる脆弱性です。Nomaは、ユーザーが制御するコンテンツを信頼できない入力として扱い、エージェントの権限を必要最小限に制限し、公開開示を制限し、ユーザー入力を指示コンテキストからサニタイズまたは分離することを推奨しています。コミュニティメンバーは、エージェントがアクセスできる場合、プライベートリポジトリはセキュリティ境界ではないこと、そして「Additionally」によるバイパスはコンテンツの問題ではなく意思決定境界の問題であることを指摘しました。