GitHub-KI-Workflow-Schwachstelle kann Daten aus privaten Repositorys offenlegen, sagen Forscher

Sicherheitsforscher von Noma Labs geben an, eine Schwachstelle durch Prompt-Injection in GitHubs Agentic Workflows entdeckt zu haben, die sich ausnutzen lässt, um Informationen aus privaten Repositorys abzurufen und öffentlich zu veröffentlichen. Die Forscher nannten das Problem GitLost.

GitHubs Agentic Workflows ermöglichen es einem KI-Agenten, der von Systemen wie Claude oder GitHub Copilot unterstützt wird, Aufgaben automatisch innerhalb von GitHub Actions auszuführen. Den Forschern zufolge kann ein Angreifer diese Konfiguration ausnutzen, indem er ein Issue in einem öffentlichen Repository erstellt, das zur selben Organisation wie ein privates Repository gehört. Enthält das Issue sorgfältig formulierte Anweisungen, kann der Agent diesen folgen, Daten aus dem privaten Repository abrufen und das Material anschließend in einem öffentlichen Kommentar zum Issue veröffentlichen.

So funktioniert der Angriff

Die Forscher erklärten, dass der Angriff keine Codeausführung, Zugangsdaten oder Zugriff auf die internen Systeme der Zielorganisation erfordert. Für ihre Demonstration erstellten sie ein glaubwürdiges öffentliches Issue und fügten die schädliche Anfrage so ein, als handele es sich um eine routinemäßige geschäftliche Nachricht. Nachdem die Automatisierung das Issue zugewiesen und den Workflow ausgelöst hatte, rief der KI-Agent README-Dateien sowohl aus einem öffentlichen Proof-of-Concept-Repository als auch aus einem privaten Test-Repository ab und legte den privaten Inhalt anschließend in einem für alle sichtbaren Kommentar offen.

Noma Security erklärte, dass die Schwachstelle insbesondere für Unternehmen relevant sei, die sowohl öffentliche als auch private Repositorys mit derselben GitHub-Organisation verbinden. Die Sorge betrifft nicht nur den direkten Datenabfluss, sondern auch die Schwierigkeit vorherzusagen, auf welche verbundenen Systeme ein autonomer Agent zugreifen kann, sobald er eigenständig zu handeln beginnt.

• Die Forscher meldeten das Problem an GitHub.
• Sie erklärten, dass sich das Problem nur schwer vollständig durch Code lösen lasse, da es auf dem Verhalten bei Prompt-Injection beruhe.
• Noma schlug zusätzliche Dokumentation und klarere Leitlinien für Organisationen vor, erklärte jedoch, dass dieser Ansatz noch nicht umgesetzt worden sei.

GitHub hatte zum Zeitpunkt des Berichts noch keine öffentliche Stellungnahme abgegeben. Die Erkenntnisse verdeutlichen ein größeres Risiko für Organisationen, die autonome KI-Tools einsetzen: Wenn Berechtigungen und Datenpfade nicht strikt kontrolliert werden, kann ein Assistent, der eigentlich die Arbeit automatisieren soll, auch zu einem Kanal für die unbemerkte Offenlegung von Daten werden.