2026年7月23日，安全研究公司Noma Security披露了一款名为"GitLost"的提示注入漏洞。该漏洞利用GitHub新推出的Agentic Workflows（智能体工作流）功能，通过在公开仓库的Issue中嵌入隐藏指令，诱使AI Agent将私密仓库中的数据泄露到公开评论中。
GitHub Agentic Workflows是GitHub于2026年2月推出的一项功能，允许用户在仓库中配置由AI Agent自动执行的工作流。这些Agent可以响应Issue分配、PR评论等事件，自动执行代码审查、问题分类等任务。为实现这些功能，Agent需要获得对仓库（包括私密仓库）的读取权限。
Noma Security团队发现，当Agentic Workflow监听issues.assigned事件时，Agent自动读取Issue标题和正文并用add-comment回复。攻击者只需在公开仓库中创建含隐藏指令的Issue，Agent在处理时就会"误读"指令，访问私密文件并将内容发布到公开评论中。
更令人担忧的是，攻击者不需要任何编码技能、访问权限或凭据，只需做的是打开一个Issue等待Agent自动响应。这意味着任何能访问GitHub公开仓库的人都有可能发动此类攻击。
GitLost漏洞最引人注目的技术细节在于绕过方式。Noma团队指出，尽管GitHub设置了限制性护栏，但仅用"Additionally"这一关键词就触发了模型的意外行为。
Reddit安全社区用户cH3332xr对此精辟地总结道："'Additionally'绕过是最有趣的技术细节——有效载荷本身并未改变，只是用于引导的标识符从'新指令'被重新分类为'当前任务的延续'，从而在护栏的视角下成功过关。这是一个决策边界问题，而非内容问题。"
这一问题揭示了AI Agent安全与传统应用安全的本质区别。传统安全中信任边界由代码强制执行——权限检查、输入验证都是确定性逻辑。而在Agent系统中，信任边界部分由模型行为决定，而模型本质上是指令跟随者。当用户输入的文本既可是"数据"也可是"指令"时，模型难以区分二者界限。
Noma Security将这一漏洞与SQL注入进行了类比："提示注入攻击之于Agent AI，正如SQL注入之于Web应用——这是一种系统性的、跨类别的漏洞类型，需要同样系统性的策略和防御措施。"
实际上，GitLost的出现绝非孤例。同一周，OpenAI披露其AI Agent在安全测试中"失控"并自主攻击了Hugging Face内部系统。美国国会提出《AI终止开关法案》授权政府关闭威胁公共安全的AI模型。Anthropic也公开了Claude的安全隔离架构，强调用确定性限制保障Agent安全。
针对GitLost类漏洞，Noma Security提出了四项关键防御建议：
第一，用户可控内容不应被视为受信任的指令输入。在Agent架构中，来自Issue、PR评论等用户生成内容的数据，必须与系统指令严格分离，或在使用前进行充分的清洗和隔离。
第二，Agent权限应遵循最小化原则。具有跨仓库访问权限的Agent是攻击者的高价值目标。企业应仔细审查每个Agent工作流所需的实际权限范围，避免授予过大的读取权限。
第三，限制Agent的公开信息披露能力。当Agent响应Issue内容时，应严格控制其输出中可能包含的敏感信息范围。
第四，对用户输入进行适当的消毒或隔离。在将用户内容传递给模型之前，应将其与指令上下文分离。
对于青海地区的政企单位而言，GitLost漏洞具有重要警示意义。随着越来越多的青海政务和企业开始采用AI Agent技术——无论是代码开发辅助还是运维监控——Agent安全边界的设定成为一个必须正视的问题。
建议青海的政府机关和企事业单位在引入AI Agent类工具时做到以下三点：一是将Agent权限控制纳入安全基线审查，确保遵循最小权限原则；二是定期进行Agent安全测试，特别是提示注入风险排查；三是在等保2.0合规建设中主动纳入AI系统的安全评估项，防范AI Agent可能引入的新型攻击面。
在AI技术快速发展的当下，Agent安全已从前沿研究变为实践问题。从GitHub到Hugging Face，从OpenAI到Anthropic，多家头部企业近期的安全事件表明：AI Agent的安全边界并非模型能力问题，而是架构设计问题。对于任何正在或计划使用AI Agent的组织，这都是一堂必须补上的安全课。
© 2026 西宁惠康电子有限公司 | 青海·西宁