Una falla nei workflow AI di GitHub può esporre dati di repository privati, secondo i ricercatori

I ricercatori di sicurezza di Noma Labs affermano di aver scoperto una vulnerabilità di prompt injection negli Agentic Workflows di GitHub, sfruttabile per estrarre informazioni da repository privati e pubblicarle. I ricercatori hanno soprannominato il problema GitLost.

Gli Agentic Workflows di GitHub consentono a un agente AI, basato su sistemi come Claude o GitHub Copilot, di eseguire automaticamente attività all’interno di GitHub Actions. Secondo i ricercatori, un attaccante può sfruttare questa configurazione aprendo una issue in un repository pubblico appartenente alla stessa organizzazione di un repository privato. Se la issue contiene istruzioni formulate con attenzione, l’agente potrebbe seguirle, recuperare dati dal repository privato e quindi pubblicare il materiale in un commento pubblico sulla issue.

Come funziona l’attacco

I ricercatori hanno affermato che l’attacco non richiede l’esecuzione di codice, credenziali o accesso ai sistemi interni dell’organizzazione target. Nella loro dimostrazione, hanno creato una issue pubblica credibile e inserito la richiesta dannosa facendola apparire come un normale messaggio aziendale. Una volta che l’automazione ha assegnato la issue e attivato il workflow, l’agente AI ha recuperato i file README sia da un repository pubblico di proof of concept sia da un repository privato di test, esponendo poi i contenuti privati in un commento visibile a chiunque.

Noma Security ha affermato che la vulnerabilità è particolarmente rilevante per le aziende che collegano repository pubblici e privati alla stessa organizzazione GitHub. Il problema non riguarda soltanto la fuga diretta di dati, ma anche la difficoltà di prevedere a quali sistemi collegati un agente autonomo possa accedere una volta che inizia ad agire autonomamente.

• I ricercatori hanno segnalato il problema a GitHub.
• Hanno affermato che è difficile risolverlo completamente a livello di codice, perché deriva dal comportamento associato alla prompt injection.
• Noma ha proposto documentazione aggiuntiva e indicazioni più chiare per le organizzazioni, ma ha affermato che questo approccio non era ancora stato adottato.

Al momento della pubblicazione del report, GitHub non aveva rilasciato commenti pubblici. I risultati evidenziano un rischio più ampio per le organizzazioni che adottano strumenti AI autonomi: se autorizzazioni e percorsi dei dati non sono sottoposti a controlli rigorosi, un assistente progettato per automatizzare il lavoro può anche trasformarsi in un canale per l’esposizione silenziosa dei dati.