Исследователи описали уязвимость GitHub, позволявшую читать приватные репозитории через ИИ-агента

Исследователи из Noma Security обнаружили уязвимость GitHub под названием GitLost. Она позволяла извлекать данные из приватных репозиториев через ИИ-агента платформы. Атака использовала технику indirect prompt injection: скрытые инструкции размещались в тикете или комментарии, после чего агент воспринимал их как обычные команды.

Как пишет Numerama, для такого сценария не требовались ни учетные данные, ни специальная техническая подготовка. Достаточно было создать тикет в публичном репозитории организации, которая использует Agentic Workflows. В примере, который описали исследователи, автоматический workflow запускался после назначения тикета. Агент читал текст обращения, имел доступ на чтение ко всем репозиториям организации и публиковал ответ в открытом комментарии.

По данным Noma Security, в одном из тестов агент получил содержимое файла README.md из приватного репозитория и вставил его в публичный комментарий к тикету. Исследователи также заявили, что смогли обойти часть защитных механизмов GitHub, добавив в инструкции слово «Additionally». Из-за этого система не блокировала ответ, а переформулировала его.

GitHub представил Agentic Workflows в конце июня 2026 года. Функция объединяет GitHub Actions с ИИ-агентом на базе Claude или GitHub Copilot и позволяет описывать автоматизации на естественном языке. По словам исследователей, о проблеме сообщили GitHub ответственным способом, однако публичной реакции компании на момент публикации не было.