GitHubの公開IssueだけでAIに非公開リポジトリの情報を吐き出させる脆弱性「GitLost」が報告される

GitHubの公開リポジトリに投稿されたIssueへ悪意ある指示を紛れ込ませることで、AIエージェントに非公開リポジトリの内容を公開コメントとして投稿させるプロンプトインジェクションの脆弱(ぜいじゃく)性「GitLost」をセキュリティ企業のNoma Labsが報告しました。攻撃者は認証情報やリポジトリへのアクセス権を持っていなくても、組織の公開リポジトリにIssueを作成するだけで攻撃を成立させられる可能性があったとされています。 GitLost: How We Tricked GitHub’s AI Agent into Leaking Private Repos - Noma Security https://noma.security/blog/gitlost-how-we-tricked-githubs-ai-agent-into-leaking-private-repos/ G

[sisya]

まあ、できるんだろうなと思っていた。なので、自分は公開リポジトリと非公開リポジトリを別アカウントで運用している。どんなサービスでもひとまとめにすると芋ずる式にされるリスクがあると考えた方がいい。

[misshiki]

Noma LabsがGitLostを報告。公開Issueに悪意ある指示を混ぜ、AIエージェントに非公開リポジトリREADMEを公開コメントへ投稿させる脆弱性。権限最小化と入力分離が対策。

[nekosann_08]

AI以前にも一度公開設定にしたリポジトリは非公開化しても特定の手順で引き出せる、みたいな話もあったしさもあり。

[nguyen-oi]

AIエージェントに強い権限持たせたまま外部の入力を直接読ませるのは普通に設計ミスだろ