I ricercatori segnalano una vulnerabilità di prompt injection nei GitHub Agentic Workflows

I ricercatori di sicurezza di Noma Labs hanno identificato una grave vulnerabilità di prompt injection nei GitHub Agentic Workflows che potrebbe consentire a un attaccante non autenticato di esporre dati provenienti da repository privati. Il problema, denominato GitLost, dimostra come una GitHub Issue pubblica appositamente predisposta possa influenzare un workflow basato sull’intelligenza artificiale, inducendolo a eseguire azioni non previste.

GitHub Agentic Workflows consente ai team di definire automazioni in formato Markdown, con un agente di intelligenza artificiale che interpreta tali istruzioni e interagisce con i repository tramite GitHub Actions. Secondo Noma Labs, uno dei workflow analizzati era configurato per reagire agli eventi issues.assigned, leggere il titolo e il corpo dell’issue e pubblicare una risposta. Poiché il workflow aveva accesso sia ai repository pubblici sia a quelli privati dell’organizzazione, i ricercatori affermano che avrebbe potuto essere sfruttato per recuperare informazioni sensibili.

Nel proof of concept descritto dall’azienda, all’attaccante bastava creare un’issue in un repository pubblico e attendere che il workflow la elaborasse. Noma Labs ha dichiarato di essere riuscita a creare un messaggio che sembrava provenire dai vertici commerciali e a convincere l’agente a raccogliere il contenuto dei file Readme.md dai repository pubblici e privati, per poi pubblicare i risultati in un commento visibile pubblicamente.

GitHub ha implementato protezioni volte a ridurre il rischio di prompt injection, ma i ricercatori hanno riferito di essere riusciti ad aggirare tali controlli durante i test. Hanno affermato che il comportamento è stato infine attivato dopo aver provato diverse varianti, tra cui una che aggiungeva la parola “additionally”.

Perché la scoperta è importante

Secondo Noma Labs, la vulnerabilità evidenzia una sfida di sicurezza più ampia per i sistemi di intelligenza artificiale agentica: qualsiasi contenuto consumato dall’agente può entrare a far parte della superficie di attacco se viene trattato come un’istruzione attendibile anziché come un input non attendibile. L’azienda ha paragonato la prompt injection indiretta alla SQL injection nelle applicazioni web tradizionali, sostenendo che siano necessarie difese stratificate e non misure di sicurezza isolate.

• Considerare tutti i contenuti generati dagli utenti come input non attendibili.
• Limitare i permessi dell’agente al minimo necessario.
• Limitare ciò che i sistemi di intelligenza artificiale possono pubblicare.
• Sanificare i contenuti prima di passarli ai workflow agentici.

Il problema è stato segnalato responsabilmente a GitHub. Noma Labs ha dichiarato che le organizzazioni che utilizzano workflow agentici dovrebbero presumere che issue, pull request, commenti e file dei repository possano essere manipolati se vengono usati come istruzioni per gli agenti di intelligenza artificiale.