یک ایشوی عمومی گیت‌هاب می‌تواند گردش‌کارهای عاملی گیت‌هاب را فریب دهد تا داده‌های مخازن خصوصی را فاش کند

محققان شرکت امنیتی Noma Security تکنیکی را کشف کرده‌اند که با نام «GitLost» شناخته می‌شود و به مهاجمان اجازه می‌دهد تنها با ایجاد یک «ایشو» (issue) عادی در یک مخزن عمومی گیت‌هاب، محتوای مخازن خصوصی سازمان‌ها را به بیرون درز دهند. این حمله «قابلیت گردش‌کاری هوش مصنوعی گیت‌هاب» (GitHub Agentic Workflows) را هدف قرار می‌دهد؛ ویژگی‌ای که در فوریه ۲۰۲۵ به صورت پیش‌نمایش عمومی عرضه شد و به عامل‌های هوش مصنوعی اجازه می‌دهد ایشوها را بخوانند، ابزارها را اجرا کنند و به‌طور خودکار پاسخ دهند. اگر سازمانی به این عامل دسترسی خواندن (read access) در سطح چندین مخزن، از جمله مخازن خصوصی، اعطا کرده باشد، مهاجم می‌تواند از طریق «تزریق دستور غیرمستقیم» (indirect prompt injection) عامل را فریب دهد تا محتوای خصوصی را در یک نظر عمومی منتشر کند، بدون نیاز به هیچ اعتبارنامه دزدیده‌شده یا دسترسی مستقیم به سازمان.

نکته نگران‌کننده این است که گیت‌هاب سازوکارهای محافظتی (guardrails) برای جلوگیری از این نوع حملات طراحی کرده، اما Noma نشان داد که افزودن تنها یک کلمه («Additionally») به ابتدای دستور مخرب برای دور زدن این فیلترها کافی بود. سیسی لوی، سرپرست تحقیقات امنیتی Noma، این مشکل را «ساختاری» توصیف می‌کند: «در زبان طبیعی، مرز مشخصی میان داده و دستور وجود ندارد، برخلاف SQL.» این آسیب‌پذیری در ادامه سلسله‌ای از حملات مشابه قرار دارد که شامل نقص‌هایی در Claude Code، GitHub Copilot و Gemini CLI نیز می‌شود. توصیه کارشناسان این است که دسترسی توکن عامل به حداقل یک مخزن محدود شود، خروجی‌های عمومی کنترل گردند و بررسی انسانی پیش از انتشار هر پاسخ الزامی شود.