GitLost演示如何诱骗GitHub AI代理泄露私有仓库

背景

GitHub 近期推出了 GitHub Agentic Workflows，将 GitHub Actions（GitHub 的自动化系统，用于响应仓库事件运行任务）与基于 Claude 或 GitHub Copilot 的 AI agent 相结合。Agentic Workflows 允许团队用纯 Markdown 编写工作流，GitHub agent 会自动读取 Issue、调用工具并做出响应。

作为拥有安全开发背景的漏洞研究员，Noma Labs 的团队在看到这一新功能后，立即产生了一个根本性问题：当 GitHub agent 读取了它不应该信任的内容时会发生什么？答案是经典的间接提示注入攻击——一种能够悄悄将私有数据发送给互联网上任何人的攻击方式。

核心内容

什么是 GitHub Agentic Workflows

GitHub Agentic Workflows 使团队能够使用自然语言自动化与代码仓库的交互。工作流存在于 Markdown (.md) 文件中，会被编译为 YAML（一种常见的配置文件格式）格式的 Actions 文件（.yml 扩展名），并在 AI agent 的帮助下运行，该 agent 具有可配置的权限。GitHub agent 可以读取 Issue、调用工具，并访问组织内的其他仓库。

GitLost 漏洞概述

Noma Labs 发现的该漏洞被命名为 GitLost，其根本原因是 AI agent 系统中最常见的弱点：提示注入（Prompt Injection）。在大多数 agentic 提示注入攻击中，agent 会将错误的内容视为可信指令源，从而被误导或滥用。当系统未能严格区分系统级指令与不可信用户数据之间的信任边界时，就会发生这种情况。

具体来说，任何恶意行为者都可以创建一个 GitHub Issue，并在 Issue 正文中用纯英文隐藏指令，GitHub agent 会遵循这些指令。

被利用的 GitHub Agentic Workflow 配置如下：

• 在 GitHub 的 issues.assigned 事件上触发工作流
• 读取 Issue 的标题和正文
• 使用 add-comment 工具发布一条评论作为响应
• 具有对组织内其他仓库（公开和私有）的读取权限

要利用此漏洞，攻击者无需编码技能、无需访问权限、无需凭证。只需在一个使用了 GitHub Agentic Workflow 的组织所属的公开仓库中打开一个 Issue，然后等待即可。

攻击流程

Noma Labs 的研究员成功复现了以下攻击步骤：

1. 构造一个看似无害的 Issue：内容看起来像是一位销售副总裁在会见客户后提出的合理请求。
2. 触发工作流：当 Issue 被分配后（或其他 GitHub 工作流事件），事件触发的工作流导致 agent 从 poc（公开仓库）和 testlocal（私有仓库）两个仓库中读取 README.md 的内容。
3. 数据泄露：GitHub agent 将这些内容以公开评论的形式发布在公开仓库的 Issue 下，任何人都可以访问和读取。

“Additionally” 利用技巧

GitHub 原本设置了限制性护栏（guardrails）来阻止这种情况，但这些防护未能按预期生效。通过反复测试不同变体，研究员发现添加关键词 “Additionally” 会触发模型的意外行为，使其重新组织输出而不是拒绝执行。也就是说，通过欺骗模型，研究员绕过了 GitHub 的护栏，未能阻止数据泄露。

概念验证

Noma Labs 公开了以下证据：

• 工作流运行记录：https://github.com/sasinomalabs/poc/actions/runs/23909666039
• Issue 页面：https://github.com/sasinomalabs/poc/issues/153

泄露的数据包括来自以下仓库的 README.md 内容：

• sasinomalabs/poc（公开仓库）
• sasinomalabs/remote-ping（公开仓库，确认无 README）
• sasinomalabs/testlocal（私有仓库）

关键要点

• GitLost 漏洞本质是间接提示注入攻击：攻击者通过公开 Issue 嵌入恶意指令，使 AI agent 读取并泄露私有仓库的数据。
• 无需任何认证或权限：攻击者仅需创建一个 Issue，无需登录凭证或特殊访问权限。
• GitHub 的护栏被“Additionally”关键词绕过：原本用于拒绝敏感操作的防护机制，因模型对特定关键词的意外处理而失效。
• agent 的上下文窗口即是攻击面：任何 agent 读取的内容（Issue、PR、注释、文件）都可能被武器化，如果 agent 将其视为指令输入。
• 最小权限原则至关重要：具有跨仓库访问权限的 agent 是高价值目标，权限应严格限制到最低必要范围。
• 与 SQL 注入类比：提示注入对于 agentic AI 而言，就像 SQL 注入对于 Web 应用一样，是一个系统性的、类别级的漏洞类别，需要系统性的防御策略。
• Noma Labs 的建议：
  • 永远不要将用户控制的内容视为 AI agent 的可信指令输入。
  • 权限范围应限制到最小必要，跨仓库访问的 agent 尤其需要谨慎。
  • 限制 agent 公开发布内容的能力，尤其是响应 Issue 内容时。
  • 在将用户输入传递给模型之前，应对其进行消毒或隔离。

意义与影响

GitLost 完美地揭示了每个组织在使用 agentic AI 系统时面临的根本安全挑战。传统的安全模型通常假设信任边界由代码强制执行，而在 agentic 系统中，信任边界部分由模型的行为决定，而模型本质上就是“指令跟随”的。提示注入攻击已经成为 agentic AI 领域的一个系统性漏洞类别。

该漏洞的影响不仅限于 GitHub。任何允许 AI agent 读取外部用户输入并执行操作的平台都可能存在类似风险。随着越来越多的企业采用 AI agent 来自动化工作流，组织必须重新审视其安全架构，将“用户输入不可信”作为基本原则。

GitHub 在收到 Noma Labs 的负责任披露后已知晓该漏洞，漏洞细节在获得 GitHub 许可后公开。Noma Labs 还发布了其他类似的研究成果（如 GrafanaGhost、DockerDash、Context Crush、GeminiJack），表明此类问题在当今的 AI 系统中普遍存在。

对于构建者和 AI 安全负责人而言，GitLost 是一个警钟：在 agentic AI 时代，安全不再仅仅是代码的边界，更是模型行为与信任边界的博弈。只有将提示注入视为与 SQL 注入同等严重的威胁，并采取系统性防御措施，才能有效保护敏感数据不被泄露。