Lỗ hổng prompt injection trong GitHub Agentic Workflows có thể rò rỉ repo riêng
"Researchers at Noma Labs reported a critical prompt injection vulnerability, dubbed GitLost, in GitHub's Agentic Workflows. By opening a crafted issue in a public repository, an attacker could cause the AI agent to fetch content from a private repository and expose it in a public comment, resulting in silent data exfiltration and potential secrets leakage; no code fix was provided, and the suggested mitigation was documentation guidance."
Nguy cơ rò rỉ dữ liệu âm thầm từ repo riêng sang comment công khai; điểm mấu chốt là prompt injection trong Agentic Workflows và khả năng truy xuất qua cùng tổ chức.
Có thể gây gián đoạn tuân thủ và tăng chi phí xử lý sự cố nếu secrets hoặc tài sản nhạy cảm bị lộ; tác động phụ thuộc vào mức độ tổ chức dùng agent và cấu hình quyền truy cập.
Các nhà nghiên cứu tại Noma Labs công bố lỗ hổng GitLost trong GitHub Agentic Workflows, cho phép tác nhân AI (powered by Claude hoặc GitHub Copilot) thực thi tác vụ trong GitHub Actions. Theo báo cáo, kẻ tấn công có thể tạo một issue được chế tạo sẵn trong một repo công khai thuộc cùng tổ chức, sau đó “đánh lừa” agent để truy xuất dữ liệu từ repo riêng và đăng nội dung đó dưới dạng comment công khai để người khác truy cập.
Cách khai thác được mô tả là kẻ tấn công nhúng lệnh độc hại bằng ngôn ngữ tự nhiên trong phần nội dung issue. Khi workflow tự động kích hoạt, agent sẽ lấy nội dung README.md từ cả repo công khai (poc) và repo riêng (testlocal), rồi công bố kết quả trong comment công khai.
Noma Labs cho biết không cần kỹ năng lập trình hay thông tin xác thực bổ sung. Hiện không có bản vá mã nguồn hoặc hướng dẫn khắc phục chính thức; đề xuất chủ yếu là hướng dẫn tài liệu về cách quản lý/chi sẻ API key giữa các repo, nhưng GitHub chưa triển khai tài liệu tương ứng. Khuyến nghị cho doanh nghiệp: rà soát quyền truy cập của agent, giới hạn phạm vi kết nối giữa repo công khai–riêng, và kiểm tra “blast radius” trước khi cho phép tác nhân tự động.