Wenn private Repositories „GitLost“ sind

Mit einer IPI haben Forscher es geschafft, GitHubs Agenten dazu zu bringen, sensible Daten an Unbefugte weiterzuleiten.Github



Auf GitHub sind laut eigenen Angaben 18 Petabytes an Daten gespeichert, davon eine unbekannte, aber sicherlich nicht unbedeutende Menge von ihnen als private Repositories. An diesen Schatz ranzukommen, gestaltet sich, wie Forscher von Noma Labs offenbar herausgefunden haben, allerdings nicht ganz so schwierig, wie gedacht.



Wie die Experten in einem Blogpost schreiben, sind sie per Prompt Injection in die neuen „Agentic Workflows“ von GitHub eingedrungen. Diese Lücke in GitHubs Sicherheit könnte es einem nicht authentifizierten Angreifer ermöglichen, unbemerkt Daten aus privaten Repositories abzurufen.



Um sich Zugang zu verschaffen, müssen Kriminelle dem Bericht zufolge zuerst ein speziell präpariertes GitHub-Issue in einem öffentlichen Repository veröffentlichen, das zur selben Organisation gehört wie die privaten Repositories. Hiermit soll es dann möglich sein, die von Noma Labs als „GitLost“ bezeichnete Schwachstelle zu nutzen.



Schwachstelle Agentic Workflows



Der Schwachpunkt liegt den Sicherheitsforschern zufolge in GitHub Agentic Workflows selbst, einem neuen Feature, bei dem GitHub Actions – GitHubs Automatisierungssystem zur Ausführung von Aufgaben als Reaktion auf Repository-Ereignisse – mit einem KI-Agenten kombiniert wird, der auf Anthropic Claude oder GitHub Copilot basiert.



Die Funktion ermöglicht es Nutzern, ihre GitHub-Workflows in natürlicher Sprache mit einfachem Markdown zu schreiben. Der GitHub-Agent kann dann Issues lesen, Tools aufrufen und eigenständig reagieren.



Angreifer wiederum müssten Noma zufolge für einen erfolgreichen Angriff nur ein GitHub-Issue erstellen und im Textkörper des Issues Befehle in natürlicher Sprache verbergen, die vom GitHub-Agenten ausgeführt werden.



Die Experten demonstrierten dies anhand eines Indirect-Prompt-Injection-infizierten (IPI) GitHub-Agenten-Workflows. Dieser war so konfiguriert, dass er:




den Workflow bei `issues.assigned`-Ereignissen in GitHub auslöste,



den Titel und den Textkörper des Issue las,



mithilfe des „add-comment“-Tools einen Antwortkommentar veröffentlichte, sowie



mit Lesezugriff auf andere Repositories (öffentlich und privat) innerhalb der Organisation ausgeführt wurde.




Ein Issue reicht



Die Experten von Noma Labs betonen hierbei, dass Angreifer weder Programmierkenntnisse noch Zugriffsrechte oder Anmeldedaten benötigen. Es sei vollkommen ausreichend, in einem öffentlichen Repository einer Organisation, die das „Agentic Workflow“-Setup von GitHub nutzt, ein Issue zu eröffnen und abzuwarten.



Zwar hat GitHub diverse Sicherheitsmechanismen, um ein solches Szenario zu verhindern, diese lassen sich jedoch den Sicherheitsforschern zufolge durch Beharrlichkeit und Schlüsselwörter aushebeln. Wie Noma Security Research Lead Sasi Levi berichtet, ergänzte er beim Testen verschiedener Angriffsvarianten das Schlüsselwort „Additionally“. Damit löste er ein unerwartetes Verhalten des Modells aus: Der Agent formulierte seine Ausgabe um, anstatt sie zu verweigern, so der Experte.



Durch diese Manipulation des Modells gelang es ihm dann, die Sicherheitsmechanismen von GitHub zu umgehen, sodass sie den Datenabfluss nicht verhinderten. Geleaket wurden dann ein poc (öffentliches Repository), ein remote-ping (öffentliches Repository, keine README bestätigt) sowie ein testlocal (privates Repository).



Eingebaute Schwächen im Agenten



Der Vorgang veranschaulicht, dass das Kontextfenster des GitHub- Agenten zugleich seine Angriffsfläche ist. Jeder Inhalt, den der Agent lese – seien es Issues, Pull Requests, Kommentare oder Dateien –, könne als Waffe eingesetzt werden, so die Experten. Die einzige Bedingung: Der Agent muss diesen Inhalt als Anweisung interpretieren.



Für Noma Labs sind Prompt-Injection-Angriffe daher für agentenbasierte KI das, was SQL-Injection für Webanwendungen ist: eine systematische, kategorieweite Schwachstellenklasse. Dagegen anzukommen, erfordere systematische Strategien und Abwehrmaßnahmen.



Die Experten raten deshalb,




von Nutzern kontrollierte Inhalte niemals als vertrauenswürdige Anweisungen für einen KI-Agenten zu betrachten,



Berechtigungen auf das unbedingt erforderliche Minimum zu beschränken,



die Möglichkeiten von Agenten zur öffentlichen Veröffentlichung von Inhalten einzuschränken, insbesondere bei Antworten auf Issue-Inhalte, sowie



Nutzereingaben vom Anweisungskontext zu bereinigen oder zu isolieren, bevor diese an das Modell übergeben werden.