Исследователи обнаружили уязвимость GitLost в ИИ-агентах GitHub, позволяющую утечь данные из закрытых репозиториев

Критическая уязвимость в системе GitHub Agentic Workflows

Исследователи в области кибербезопасности из компании Noma Labs обнаружили на платформе GitHub уязвимость, получившую название GitLost. Работающие на платформе агенты искусственного интеллекта при определённых запросах выдают данные из закрытых репозиториев и публикуют их в виде общедоступных комментариев.

Механизм эксплуатации уязвимости

Проблема актуальна для рабочих процессов GitHub Agentic Workflows, которые позволяют ИИ-агентам под управлением Anthropic Claude или GitHub Copilot в автономном режиме выполнять задачи в GitHub Actions. Чтобы воспользоваться уязвимостью, гипотетическому злоумышленнику не нужны навыки программирования или учётные данные для доступа к репозиториям — ему достаточно создать сообщение об ошибке в публичном репозитории, принадлежащем организации, которая пользуется сервисом Agentic Workflow, указать вредоносные команды простым английским языком и просто подождать. Через некоторое время ИИ-агент опубликует необходимые данные в качестве публичного комментария к сообщению об ошибке.

Особенности угрозы и рекомендации экспертов

Как в случае с большинством атак с внедрением запросов, преследующих агентов и прочие системы ИИ, закрыть уязвимость исправлением кода не получится. В качестве решения исследователи предложили раскрыть информацию об уязвимости пользователям и рекомендовать им ужесточить политику управления закрытыми данными: доступом ИИ-агентов, репозиториями и ключами API.

В качестве примера реализации атаки исследователи Noma Labs создали на платформе публичный и приватный репозитории и в одном из сообщений об ошибке имитировали обращение вице-президента вымышленной компании к своим подчинённым, в котором он, в частности, запросил содержание файлов из закрытого репозитория. ИИ-агент послушно раскрыл запрошенную информацию в качестве публичного комментария.

Предупреждение о рисках и ответы администрации

Эксперты Noma Labs сообщили о проблеме в администрацию GitHub и заявили, что та осведомлена об их намерении раскрыть схему атаки GitLost. Проблема угрожает компаниям, у которых на платформе есть и публичные, и приватные репозитории.

«Автономный агент не должен представлять угрозу скрытой утечки данных и раскрытия секретов. Прежде чем отдел безопасности даст разрешение любому автономному агенту, он должен убедиться, что осознаёт все возможные соединения, доступ и пути, вероятный радиус поражения доступа агента и разрешения. Невозможно защитить то, чего не видишь и что не контролируешь», — предупредили в Noma Labs.