GitHubのAIエージェント、プロンプトインジェクション攻撃に脆弱

Noma Securityの調査によると、プロンプトインジェクション攻撃により、GitHubのAgentic Workflowsのベータ版をだまして、プライベートリポジトリのコンテンツを抽出し、公開することが可能になるという。GitLostと名付けられたこの攻撃は、AIセキュリティ企業によるブログ投稿で詳述された。Nomaは、認証されていない攻撃者が、公開リポジトリに特別に細工されたGitHub Issueを送信することで、プレビュー版を悪用できると説明している。AIエージェントが同じ組織内のプライベートリポジトリへの読み取りアクセス権を持っている場合、機密情報を抽出して公開コメントに投稿することができる。Agentic Workflowsは、GitHub ActionsとClaudeやGitHub CopilotなどのAIモデルを組み合わせ、開発者がMarkdownでワークフローを定義できるようにするものだ。この攻撃は、盗まれた認証情報、マルウェア、ソフトウェアの欠陥には依存せず、代わりに、GitHub Issueに隠された指示が埋め込まれていた。研究者たちは、一見普通のIssueを作成して攻撃を実演し、AIエージェントがプライベートリポジトリからREADMEを取得して公開投稿した。また、GitHubのプロンプトベースの安全対策を、わずかに言葉を変えることで回避した。GitHubはコメント要請に応じなかった。Nomaは、GitLostがAIエージェントのより広範なアーキテクチャ上の課題を浮き彫りにしていると指摘する。信頼されていない外部コンテンツと機密性の高い内部リソースにアクセスできるエージェントは、信頼境界が尊重されていない場合、それらの間の意図しない橋渡し役になり得るという。セキュリティ研究者のVibhum Dubey氏は、問題は単なるプロンプトインジェクションではなく、GitHubがエージェントの安全性を確保する前に権限を付与し、ユーザーモデルではなくサービスアカウントの承認モデルで運用していることだ、と主張する。Dubey氏は、リポジトリの明示的なホワイトリスト、LLMに到達する前のすべてのユーザー入力の検証、緊急停止メカニズムの設置を推奨している。