GitHub AIの脆弱性「GitLost」が報告

GitHubが提供するAIエージェントワークフロー機能（Agentic Workflows）において、重大なプロンプトインジェクション（指示の注入によるAIの誤動作）脆弱性「GitLost」が発見されたと、セキュリティ企業Noma Securityの研究部門であるNoma Labsが発表しました。この脆弱性を悪用されると、認証されていない第三者がパブリックリポジトリに特定のIssue（課題）を投稿するだけで、同一組織内にあるプライベートリポジトリの機密情報をネット上に公開・漏洩させられる危険性があります。

1. 間接的プロンプトインジェクションによるデータ漏洩

GitHubのAIエージェントは、Markdownの指示に従ってリポジトリの管理作業を自動化できます。しかし、「GitLost」脆弱性では、エージェントがシステムからの指示と、外部（ユーザー）から入力されたIssueの本文などの信頼できないデータを区別できないという弱点（間接的プロンプトインジェクション）が突かれました。 Noma Labsの実証実験では、Issueが割り当てられた際に作動するワークフローを利用し、Issueの本文に隠された指示によって、エージェントにプライベートリポジトリの「README.md」を読み取らせました。エージェントはそのままパブリックリポジトリのIssueに、その中身をコメントとして書き出してしまい、誰でも閲覧できる状態にしてしまいました。

2. 「Additionally」の一言でバイパスされる保護機能

GitHubにはデータの漏洩を防ぐためのガードレール（保護措置）があらかじめ組み込まれていましたが、今回の実験では、注入する指示の冒頭に「Additionally（追加で）」という単語を付け加えるだけで、AIが拒否行動を取らずに命令を実行してしまい、保護機能が簡単に回避されることが確認されました。

Noma Labsは、この問題を事前にGitHubへ報告し、現在は修正が行われています。しかし「GitLost」は、AIエージェントが扱うすべてのコンテキスト（Issue、プルリクエスト、コメント、ファイル等）がそのまま攻撃対象になり得るという、システム構造上の根深い課題を浮き彫りにしました。専門家は、SQLインジェクション脆弱性と同様にシステム的に対策を講じるべきだと指摘しており、AIエージェントに与える権限を最小限に留め、ユーザー入力を命令コンテキストと厳格に隔離することが推奨されています。

引用元：Cyber Security News | The Hacker News | Waqas