GitLost ist kein Produkt, das man installiert – es ist eine von Noma Labs gefundene Schwachstelle in GitHubs neuen Agentic Workflows, den von Claude/Copilot gesteuerten Agenten, die Aufgaben autonom innerhalb von GitHub Actions ausführen. Und es ist das bislang klarste Beispiel dafür, wie agentische KI Sicherheitsannahmen durchbricht.
Ein Issue öffnen, den Code stehlen
Kein Exploit, keine Zugangsdaten, kein Code. Ein Angreifer öffnet ein einfaches GitHub‑Issue in einem beliebigen öffentlichen Repository einer Organisation, die Agentic Workflows nutzt, und versteckt Anweisungen im Text in einfachem Englisch. Der Agent liest sie, greift auf die privaten Repositories der Organisation zu und postet das Gefundene als öffentlichen Kommentar. Quellcode, interne Schlüssel, CI/CD‑Secrets – alles, was das Token des Agenten erreichen kann.
Warum die Schutzmaßnahmen nicht halten
Ein Wort reichte aus. Das Voranstellen des bösartigen Befehls mit „Additionally“ ließ das Modell ihn als Folgebefehl behandeln, anstatt abzulehnen. Noma sagt, diese Art von Injektion kann im Code nicht vollständig behoben werden – man fordert ein Modell auf, vertrauenswürdige Anweisungen von Angreifer‑Text zu unterscheiden, den es nicht auseinanderhalten kann. GitHub erhielt den Bericht und hat noch nicht einmal die Warnung auf Dokumentationsebene veröffentlicht. HN explodierte mit 179 Punkten; The Register, DarkReading und alle anderen stießen sich an.