GitLost: Como agentes de IA no GitHub podem expor repositórios privados

O risco da automação: entendendo a falha GitLost

A automação via agentes de IA no GitHub promete agilizar fluxos de trabalho, mas um novo vetor de ataque, batizado de GitLost, coloca em xeque a segurança de repositórios privados. Pesquisadores da Noma Labs identificaram que agentes baseados em modelos como Claude ou GitHub Copilot podem ser manipulados para extrair dados sensíveis e publicá-los como comentários em issues públicas.

O problema reside na forma como os fluxos de trabalho (Agentic Workflows) processam comandos. Ao utilizar uma organização que conecta repositórios públicos e privados, um atacante pode abrir uma issue em um repositório público contendo comandos de injeção de prompt. Se o agente estiver configurado para processar essas tarefas, ele pode ser induzido a buscar informações em repositórios privados e expor o conteúdo publicamente.

Como o ataque acontece na prática

A exploração da falha não exige conhecimentos avançados de codificação ou acesso privilegiado. O atacante simula uma solicitação legítima — como um pedido de alteração de cores ou verificação de arquivos — dentro de uma issue em um repositório público. O agente, ao executar o workflow, acaba acessando o repositório privado e despejando os dados sensíveis, como o conteúdo de arquivos README, diretamente no histórico da issue pública.

Este cenário é crítico para empresas que centralizam projetos em uma única organização no GitHub. A falta de controle sobre os caminhos de acesso e a permissão de leitura entre repositórios de diferentes níveis de visibilidade cria um cenário onde a exfiltração de dados ocorre de forma silenciosa.

Governança e segurança em tempos de IA

Como apontado anteriormente em nossas análises sobre governança de IA e vulnerabilidades na operação técnica, a autonomia dos agentes exige uma revisão rigorosa das permissões. O risco aumenta quando ferramentas de ataques automatizados com IA se tornam mais comuns, tornando a segurança da infraestrutura de código uma prioridade inegociável.

Até o momento, não existe uma correção definitiva em código para a injeção de prompt. A recomendação dos pesquisadores é revisar a documentação interna e, principalmente, as estratégias de compartilhamento de chaves de API entre repositórios. O princípio é claro: você não pode proteger o que não consegue enxergar ou controlar.

O que muda na sua rotina

• Auditoria de Permissões: Antes de habilitar agentes autônomos, mapeie todos os caminhos de acesso e o raio de alcance (blast radius) dessas ferramentas.
• Segregação de Acessos: Evite que o mesmo agente tenha permissão de leitura em repositórios privados sensíveis e, simultaneamente, capacidade de interagir em repositórios públicos.
• Monitoramento de Issues: Trate issues públicas como vetores de entrada de dados não confiáveis, mesmo quando processadas por automações internas.

Para quem busca profissionalizar a gestão da operação sem perder o controle, centralizar processos críticos em plataformas seguras é o caminho. Se você ainda lida com fluxos de trabalho fragmentados e inseguros, ferramentas como a Orqueza ajudam a manter toda a sua operação em um só lugar, garantindo que o acesso a dados e projetos seja monitorado e centralizado com a segurança que sua empresa exige.

Fonte: theregister.com