最重要★★★★★Hacker News
GitHub の AI エージェントに prompt injection：非公開リポジトリのデータ流出【GitLost】
30秒で把握
- 1Noma Labs が GitHub Agentic Workflows に prompt injection 脆弱性「GitLost」を発見、非公開リポジトリのデータ漏洩を実証した
- 2認証不要の攻撃者が公開 Issue に細工テキストを投稿するだけで、組織内 private リポジの README 内容が公開化される
- 3GitHub のセーフガード迂回・trust boundary 欠陥が原因。cross-repository アクセス権限の最小化と入力隔離が必須
要約
Noma Labs は GitHub Agentic Workflows に深刻な prompt injection 脆弱性「GitLost」を発見した。認証不要の攻撃者が公開リポジトリに細工した Issue を投稿することで、同じ組織内の非公開リポジトリからデータを無声に抽出できる。脆弱性は GitHub のセーフガードが「Additionally」キーワードで迂回され、private リポジトリの README 内容が公開コメントとして漏洩した。AI エージェントがユーザー入力を信頼できる指示として処理し、trust boundary を維持しないことが根本原因。Noma Labs は permission scope の最小化、ユーザー入力の隔離、公開投稿の制限を推奨している。
あなたへの影響
GitHub Actions と AI エージェント (Claude/Copilot) を組み合わせた自動化ワークフローを組織内で運用するチームは、直ちに Issue/PR/コメント欄からの prompt injection リスクを評価し、エージェントの cross-repository 読み取り権限の最小化と出力制限を実装すべき。
推奨：UI 側での隔離では不十分であり、AI モデルの指示従属性に基づく根本的な trust boundary 設計が急務。