«Agentens kontekstvindu er også dens angrepsflate», skriver sikkerhetsforsker Sasi Levi i Noma Labs i en rapport publisert 6. juli 2026. Funnet hans, døpt GitLost, viser hvordan GitHubs ferske Agentic Workflows kan lures til å sende innholdet i private repoer ut i det åpne.
GitHub Agentic Workflows kobler GitHub Actions til en KI-agent drevet av Claude eller GitHub Copilot, der du skriver arbeidsflyten i ren Markdown. Agenten leser issues, kaller verktøy og svarer selv. Det sårbare oppsettet Noma testet kjørte på issues.assigned-hendelser, leste tittel og body, og hadde lesetilgang til andre repoer i organisasjonen, også private.
Angrepet krever verken kode, tilgang eller innlogging. En angriper oppretter en tilsynelatende uskyldig issue i et offentlig repo som tilhører samme organisasjon som de private repoene, og gjemmer instruksjoner i issue-teksten. Når en automatisering tildeler issuen, følger agenten de skjulte instruksjonene, henter README.md fra både offentlige og private repoer, og limer innholdet inn som en offentlig kommentar alle kan lese.
GitHub hadde vern mot akkurat dette scenariet, men Noma omgikk det. Ved å legge til nøkkelordet «Additionally» fikk forskeren modellen til å omformulere svaret sitt i stedet for å nekte, slik at vernet slapp dataene ut likevel. I proof-of-concept-et lekket README-filene fra to offentlige repoer og ett privat (testlocal).
«Prompt injection-angrep har blitt for agent-KI det SQL-injeksjoner var for web-applikasjoner: en systematisk, kategori-bred sårbarhetsklasse.» — Sasi Levi, Noma Labs
For deg som bygger med agenter er dette den samme lærdommen i ny innpakning: alt agenten leser, er potensiell instruksjon. Gir du agenten tilgang på tvers av repoer og lar den svare offentlig, har du samtidig bygget en lekkasjekanal. Noma-poenget er at koden ikke lenger håndhever tillitsgrensen alene; den håndheves delvis av modellens oppførsel, og modeller følger instruksjoner av natur.
GitLost ble ansvarlig rapportert til GitHub og publisert med deres viten, og er foreløpig ikke tildelt noe CVE-nummer. Funnet føyer seg inn i en voksende rekke agent-sårbarheter fra Noma Labs, ved siden av tidligere publiserte funn som GrafanaGhost og DockerDash. Fellesnevneren er den samme: en agent som leser upålitelig input og handler på den med for vide rettigheter.
Hva bør du gjøre?
- Behandle aldri brukerstyrt innhold som betrodde instruksjoner. Issues, PR-er, kommentarer og filer er data, ikke kommandoer til agenten.
- Skaler tilgangen ned til minimum. En agent med lesetilgang på tvers av repoer er et høyverdimål. Fjern privat-repo-tilgang der arbeidsflyten ikke trenger den.
- Begrens hva agenten kan poste offentlig, særlig som svar på issue-innhold fra fremmede.
- Isoler eller rens brukerinput fra instruksjonskonteksten før den sendes til modellen.