Una dimostrazione tramite un issue pubblico su GitHub mostra il rischio di esposizione dei dati privati nei workflow agentici

I ricercatori di Noma Security affermano che un issue pubblico su GitHub può essere usato per manipolare i GitHub Agentic Workflows e ottenere l’esposizione di dati provenienti da repository privati, evidenziando una nuova classe di rischi legati agli strumenti di sviluppo basati sull’IA.

L’attacco, che Noma chiama GitLost, non richiede credenziali rubate né l’accesso ai sistemi interni di un’organizzazione. Un attaccante può invece aprire un issue dall’aspetto ordinario in un repository pubblico e includere istruzioni progettate per influenzare l’agente di IA che lo gestisce. Se l’organizzazione ha concesso a tale agente l’accesso in lettura a più repository, inclusi quelli privati, il workflow potrebbe recuperare contenuti sensibili e inserirli in una risposta pubblica.

I GitHub Agentic Workflows, attualmente disponibili in anteprima pubblica, consentono ai team di definire automazioni in linguaggio naturale. L’agente può leggere issue e pull request, eseguire strumenti e rispondere automaticamente. Può inoltre essere basato su sistemi come GitHub Copilot, Anthropic Claude, Google Gemini o OpenAI Codex. Per impostazione predefinita, la funzionalità è di sola lettura, ma le organizzazioni possono estenderne l’accesso usando token validi per più repository.

Secondo Noma, la vulnerabilità è una forma di prompt injection indiretta: il modello può interpretare il testo scritto dall’attaccante come istruzioni anziché come dati non attendibili. Nella prova di concetto, un workflow che reagiva agli issue assegnati è stato indotto a leggere il README di un repository privato e a pubblicarlo. I ricercatori hanno affermato che, nei loro test, è bastata una piccola modifica nella formulazione per aggirare i controlli di sicurezza integrati nel prodotto.

GitHub ha già avvertito che gli agenti di IA possono essere influenzati da contenuti dannosi e strumenti compromessi, e la sua piattaforma include sandboxing, pulizia degli input e scansione degli output prima della pubblicazione dei post. Tuttavia, secondo i ricercatori, il problema più ampio è di natura strutturale quando un agente può leggere dati privati, elaborare testo pubblico non attendibile e pubblicare i risultati.

Perché è importante

• Le organizzazioni che usano un accesso in lettura esteso a tutti i repository sono quelle maggiormente esposte.
• Le potenziali fughe di dati possono includere codice sorgente, documenti interni, chiavi o segreti CI/CD.
• Gli esperti di sicurezza raccomandano di limitare rigorosamente l’ambito dei token, restringere il numero di persone autorizzate ad attivare i workflow e richiedere una revisione umana per gli output destinati al pubblico.

Noma ha segnalato il problema a GitHub e ha pubblicato i risultati con la conoscenza dell’azienda. Il caso si aggiunge a un elenco sempre più lungo di dimostrazioni simili di prompt injection nei tool di codifica basati sull’IA e negli strumenti integrati con GitHub.