GitHub Agent漏洞：提示注入致私密仓库数据泄露

一、漏洞背景：GitHub Agentic Workflows遇险

2026年7月，安全研究公司Noma Security披露了名为"GitLost"的严重安全漏洞，直接影响GitHub推出的Agentic Workflows功能。Agentic Workflows是GitHub于2026年初发布的AI原生能力，允许开发者以自然语言定义自动化工作流，由AI代理自主执行代码审查、问题分类、PR管理等复杂任务。

据InfoQ报道，攻击者无需任何编码技能或访问凭据，只需在组织的公开仓库中创建一个Issue，即可利用间接提示注入技术，诱使AI代理读取私密仓库中的敏感文件并发布到公开评论中。漏洞利用路径如下：配置为监听issues.assigned事件的Agentic Workflow自动读取Issue内容并调用add-comment工具回复。该工作流被授予对多个仓库（含公开和私密仓库）的读取权限。攻击者在Issue正文中嵌入隐蔽指令，当AI代理处理该Issue时被"劫持"，执行恶意操作。

二、"Additionally"一词击穿全部防线

GitLost最令人震撼的细节在于，触发数据泄露的"最后一根稻草"仅仅是一个过渡词"Additionally"。尽管GitHub已在AI代理周围部署了多层安全防护，但攻击者只需在恶意指令前加上"Additionally"，AI代理的防护机制就会产生"边界判定"偏差，将攻击者的指令误判为"当前任务的延续"，而非"新的外部指令"。这个微妙的差别足以让恶意payload绕过全部安全关卡。

安全社区评论道："'Additionally'绕过是GitLost最有趣的技术细节——payload本身没有变化，仅仅是改变了框架标记。这本质上是一个决策边界问题，而非内容过滤问题。"另一评论则点出根本差异："传统安全模型假设信任边界由代码强制执行；而在Agent系统中，信任边界由模型行为执行——而模型本质上就是遵循指令的。GitHub的防护并非无效，而是自然语言的模糊性使得任何词级别的过滤都难以完美区分正常输入和恶意指令。"

更有深远意义的是，安全社区将这一漏洞类别与Web安全最经典的漏洞做了类比："提示注入攻击对AI Agent的意义，正如SQL注入对Web应用的意义——系统性的、全类别适用的漏洞类型。"

三、防御建议与青海政企启示

针对GitLost类漏洞，Noma Security提出四条核心防御建议：

第一，用户可控内容不应被视为AI代理的信任指令输入。所有外部用户内容必须经过严格的输入清洗和上下文隔离，防止攻击者通过注入点操纵代理行为。

第二，遵循最小权限原则。Agentic Workflows若被授予跨仓库权限（尤其同时包含公开和私密仓库），即构成极具吸引力的攻击目标。应将AI代理权限严格限制在任务所需的最小范围内。

第三，限制AI代理在公开渠道的信息披露。需确保代理在回复公开Issue时披露的内容经过审查，防止无意中泄露私密信息。

第四，对用户输入进行消毒处理。将用户输入与AI代理的指令上下文有效分离，在传入模型前进行清洗或隔离。

对于青海省政企单位，该漏洞具有特殊的警示意义。青海正在加速数字化转型，越来越多的系统接入AI辅助开发和自动化运维能力。如果AI Agent被不当配置，可能成为攻击者突破防线的新入口。建议省内使用GitHub Actions和Agentic Workflows的IT团队立即排查：检查跨仓库权限的Agentic Workflows配置，确保公开与私密仓库的AI代理权限隔离；审计工作流触发事件类型，避免在公开Issue上设置自动回复和处理权限；启用审计日志监控异常AI行为。此外，对于使用自建DevOps平台（如GitLab CI、Gitee）的单位，也应评估自身AI功能是否存在类似的提示注入风险，并建立AI Agent安全配置的基线标准。