Öffentliche GitHub-Issue-Demonstration zeigt Risiko der Offenlegung privater Daten in agentenbasierten Workflows

Forscher von Noma Security zufolge kann ein öffentliches GitHub-Issue genutzt werden, um GitHub Agentic Workflows dazu zu bringen, Daten aus privaten Repositories offenzulegen. Dies verdeutlicht eine neue Klasse von Risiken im Zusammenhang mit KI-gestützten Entwicklungstools.

Der von Noma als GitLost bezeichnete Angriff erfordert weder gestohlene Zugangsdaten noch Zugriff auf die internen Systeme einer Organisation. Stattdessen kann ein Angreifer ein gewöhnlich wirkendes Issue in einem öffentlichen Repository eröffnen und darin Anweisungen aufnehmen, die den zuständigen KI-Agenten beeinflussen sollen. Hat die Organisation diesem Agenten Lesezugriff auf mehrere Repositories gewährt, darunter auch private, kann der Workflow vertrauliche Inhalte abrufen und in einer öffentlichen Antwort veröffentlichen.

GitHub Agentic Workflows befindet sich derzeit in der öffentlichen Vorschau und ermöglicht es Teams, Automatisierungen in natürlicher Sprache zu definieren. Der Agent kann Issues und Pull Requests lesen, Tools ausführen und automatisch antworten. Er kann außerdem von Systemen wie GitHub Copilot, Anthropic Claude, Google Gemini oder OpenAI Codex betrieben werden. Standardmäßig ist die Funktion schreibgeschützt. Organisationen können ihren Zugriff jedoch mithilfe von Tokens erweitern, die für mehrere Repositories gelten.

Noma zufolge handelt es sich bei der Schwachstelle um eine Form der indirekten Prompt-Injection: Das Modell kann von einem Angreifer verfassten Text als Anweisung statt als nicht vertrauenswürdige Daten behandeln. Im Proof of Concept wurde ein Workflow, der auf zugewiesene Issues reagierte, dazu gebracht, die README-Datei eines privaten Repositorys zu lesen und sie öffentlich zu posten. Die Forscher erklärten, dass in ihrem Test bereits eine geringfügige Änderung der Formulierung ausreichte, um die integrierten Sicherheitsprüfungen des Produkts zu umgehen.

GitHub hat bereits davor gewarnt, dass KI-Agenten durch schädliche Inhalte und manipulierte Tools beeinflusst werden können. Die Plattform umfasst Sandboxing, Eingabebereinigung und eine Prüfung der Ausgaben, bevor Beiträge veröffentlicht werden. Dennoch weisen Forscher darauf hin, dass das grundlegende Problem struktureller Natur ist, wenn ein Agent private Daten lesen, nicht vertrauenswürdigen öffentlichen Text verarbeiten und Ergebnisse veröffentlichen kann.

Warum das wichtig ist

• Organisationen, die einen umfassenden Lesezugriff auf Repository-Ebene verwenden, sind dem höchsten Risiko ausgesetzt.
• Zu den potenziell offengelegten Daten können Quellcode, interne Dokumente, Schlüssel oder CI/CD-Geheimnisse gehören.
• Sicherheitsexperten empfehlen, den Geltungsbereich von Tokens eng zu begrenzen, festzulegen, wer Workflows auslösen darf, und für öffentlich sichtbare Ausgaben eine menschliche Prüfung zu verlangen.

Noma meldete das Problem an GitHub und veröffentlichte seine Ergebnisse mit Kenntnis des Unternehmens. Der Fall reiht sich in eine wachsende Liste ähnlicher Prompt-Injection-Demonstrationen in KI-Coding-Tools und in GitHub integrierten Tools ein.