Forscher warnen vor Prompt-Injection-Schwachstelle in GitHub Agentic Workflows

Sicherheitsforscher von Noma Labs haben eine kritische Prompt-Injection-Schwachstelle in GitHub Agentic Workflows entdeckt, durch die ein nicht authentifizierter Angreifer Daten aus privaten Repositories offenlegen könnte. Das als GitLost bezeichnete Problem zeigt, wie eine bösartig erstellte öffentliche GitHub-Issue einen KI-gestützten Workflow dazu bringen kann, unbeabsichtigte Aktionen auszuführen.

Mit GitHub Agentic Workflows können Teams Automatisierungen in Markdown definieren. Ein KI-Agent interpretiert diese Anweisungen und interagiert über GitHub Actions mit Repositories. Laut Noma Labs war ein getesteter Workflow so konfiguriert, dass er auf Ereignisse vom Typ issues.assigned reagierte, den Titel und den Inhalt der Issue auslas und eine Antwort veröffentlichte. Da der Workflow sowohl auf öffentliche als auch auf private Repositories innerhalb der Organisation zugreifen konnte, war er den Forschern zufolge missbrauchbar, um vertrauliche Informationen abzurufen.

Für den von dem Unternehmen beschriebenen Proof of Concept musste ein Angreifer lediglich eine Issue in einem öffentlichen Repository erstellen und warten, bis der Workflow sie verarbeitete. Noma Labs erklärte, dass es eine Nachricht erstellen konnte, die den Anschein erweckte, von der Vertriebsleitung zu stammen, und den Agenten dazu brachte, den Inhalt von Readme.md-Dateien aus öffentlichen und privaten Repositories zusammenzutragen und die Ergebnisse anschließend als öffentlichen Kommentar zu veröffentlichen.

GitHub hat Schutzmaßnahmen implementiert, die das Risiko von Prompt Injection reduzieren sollen. Die Forscher berichteten jedoch, dass diese Kontrollen während der Tests umgangen werden konnten. Ihren Angaben zufolge wurde das Verhalten schließlich nach mehreren Varianten ausgelöst, darunter eine, die das Wort „additionally“ hinzufügte.

Warum der Fund wichtig ist

Noma Labs erklärte, die Schwachstelle verdeutliche eine umfassendere Sicherheitsherausforderung bei agentischen KI-Systemen: Alle Inhalte, die der Agent verarbeitet, können Teil der Angriffsfläche werden, wenn sie als vertrauenswürdige Anweisung statt als nicht vertrauenswürdige Eingabe behandelt werden. Das Unternehmen verglich indirekte Prompt Injection mit SQL-Injection in herkömmlichen Webanwendungen und argumentierte, dass hierfür mehrschichtige Abwehrmaßnahmen statt isolierter Schutzvorkehrungen erforderlich seien.

• Alle von Nutzern erstellten Inhalte als nicht vertrauenswürdige Eingaben behandeln.
• Die Berechtigungen des Agenten auf das unbedingt erforderliche Minimum beschränken.
• Beschränken, welche Inhalte KI-Systeme öffentlich veröffentlichen dürfen.
• Inhalte bereinigen, bevor sie an agentische Workflows übergeben werden.

Das Problem wurde verantwortungsvoll an GitHub gemeldet. Noma Labs erklärte, dass Organisationen, die agentische Workflows einsetzen, davon ausgehen sollten, dass Issues, Pull Requests, Kommentare und Repository-Dateien manipuliert werden können, wenn sie als Anweisungen für KI-Agenten verwendet werden.