GitLost: alcuni ricercatori hanno indotto l'agente IA di GitHub a divulgare codice privato

I ricercatori di sicurezza di Noma Labs hanno scoperto una vulnerabilità critica nei nuovi Agentic Workflows di GitHub che consentiva a un aggressore di estrarre silenziosamente dati da repository di codice privati semplicemente pubblicando una Issue preparata ad arte in un repository pubblico della stessa organizzazione. Hanno chiamato la falla GitLost, l’hanno comunicata responsabilmente a GitHub e ne hanno pubblicato i dettagli con il consenso dell’azienda.

Qualche rapida spiegazione. I GitHub Agentic Workflows abbinano GitHub Actions, il sistema di automazione di GitHub che esegue attività quando accade qualcosa in un repository, a un agente IA basato su Claude o GitHub Copilot. I team descrivono ciò che desiderano in semplice Markdown e l’agente legge le issue, richiama strumenti e risponde autonomamente. Una «Issue» è semplicemente una discussione pubblica in cui chiunque può segnalare bug o avanzare richieste. Ed è proprio quel «chiunque» a dare origine al problema.

L’attacco è quello che gli esperti di sicurezza chiamano prompt injection indiretta: nascondere istruzioni dannose all’interno di contenuti che un agente IA leggerà in seguito. L’agente non riesce a distinguere in modo affidabile tra «istruzioni del mio operatore» e «testo che mi è capitato di leggere in una issue», e può finire per eseguire gli ordini dell’aggressore. In questo caso, la issue di uno sconosciuto non autenticato poteva orientare un agente che aveva accesso ai repository privati dell’organizzazione, inducendolo a sottrarre discretamente dati. Nessuna password violata, nessun server compromesso: l’agente era semplicemente troppo fiducioso.

Ciò che sta dietro a questa vicenda è più grande di un singolo bug. I ricercatori di Noma propongono un paragone incisivo: la prompt injection sta diventando per gli agenti IA ciò che la SQL injection è stata per le applicazioni web, non un errore occasionale ma una debolezza sistematica e diffusa che richiede difese altrettanto sistematiche. Finché gli agenti saranno per natura inclini a seguire istruzioni e leggeranno contenuti scritti da estranei, questa categoria di attacchi continuerà a riemergere. Vale la pena citare le raccomandazioni di Noma agli sviluppatori: non considerare mai i contenuti controllati dagli utenti come istruzioni affidabili, concedere agli agenti soltanto i permessi minimi necessari e limitare ciò che possono pubblicare.

Cosa significa per te: se usi soltanto chatbot di IA, il problema non ti riguarda: coinvolge agenti IA collegati a sistemi reali e dotati di permessi concreti. Se tu o il tuo team usate workflow agentici ovunque, su GitHub o altrove, la lezione è trasferibile: un agente è sicuro soltanto quanto il testo meno affidabile che legge. Controlla a che cosa possono accedere i tuoi agenti e considera qualsiasi cosa possa scrivere uno sconosciuto, come issue, e-mail o campi di moduli, un possibile attacco. La specifica falla GitLost è stata corretta, ma lo schema alla base non è scomparso.

Fonti

• Noma Labs: GitLost, come abbiamo indotto l’agente IA di GitHub a divulgare repository privati
• Discussione su Hacker News