Issue công khai có thể khiến workflow AI của GitHub rò rỉ dữ liệu repo riêng
"Researchers at Noma Security demonstrated GitLost, an indirect prompt-injection attack against GitHub Agentic Workflows that can cause an AI agent with broad repository read access to leak private repository contents into a public issue comment. The issue affects organizations using the public-preview feature with cross-repo tokens; GitHub's existing guardrails and output scanning were shown to be bypassable with a simple wording change, so the recommended mitigation is to tightly scope credentials, restrict untrusted inputs, and require human review of outputs."
Nguy cơ rò rỉ dữ liệu từ repo riêng sang comment công khai khi agent có quyền đọc chéo; điểm then chốt gồm indirect prompt injection, cross-repo read tokens, và khả năng bypass output scanning bằng thay đổi ngôn ngữ.
Có thể gây gián đoạn tuân thủ và rủi ro lộ thông tin nhạy cảm (mã nguồn, tài liệu nội bộ, khóa/secret nếu token đủ quyền). Tác động phụ thuộc mức độ phạm vi token và mức độ duyệt thủ công đối với đầu ra trước khi công bố.
Các nhà nghiên cứu tại Noma Security công bố kỹ thuật GitLost, một dạng indirect prompt injection nhắm vào GitHub Agentic Workflows (tính năng public preview). Theo báo cáo, chỉ cần kẻ tấn công mở một issue công khai trên một repository bất kỳ, không cần đánh cắp thông tin đăng nhập và cũng không cần quyền truy cập vào tổ chức mục tiêu.
Điều kiện rủi ro nằm ở việc tổ chức đã cấu hình agent có read access trên nhiều repository (bao gồm repo riêng) thông qua cross-repo tokens. Khi issue được gán cho workflow, agent sẽ đọc nội dung issue và tự tạo comment công khai; nếu nội dung issue chứa chỉ dẫn độc hại được “ngụy trang”, agent có thể trích dữ liệu từ repo riêng (ví dụ README) và đăng ra công khai.
Noma cho biết các guardrails và bước output scanning của GitHub có thể bị vượt qua chỉ bằng thay đổi câu chữ (ví dụ thêm từ khóa để khiến mô hình coi đây là tác vụ nối tiếp). Khuyến nghị chính: thu hẹp phạm vi token (chỉ cho repo cần thiết), hạn chế đầu vào không tin cậy, và yêu cầu duyệt thủ công trước khi đăng kết quả ra công khai.