❌ Критическая уязвимость в GitHub Agentic Workflows: промпт-инъекция через публичные Issue

Исследователи безопасности продемонстрировали атаку на AI-агентов GitHub, использующих Agentic Workflows. Злоумышленник может создать специально оформленный публичный Issue в репозитории, чтобы внедрить вредоносную инструкцию в цепочку действий AI-агента. В результате агент, работающий с приватными данными, может быть обманом вынужден раскрыть содержимое закрытых репозиториев без какой-либо аутентификации.

Уязвимость затрагивает механизм автоматической обработки событий GitHub Actions, где AI-агенты анализируют входящие Issue и PR. Если агент использует содержимое Issue как часть промпта (например, для генерации ответа или выполнения действий), злоумышленник может внедрить команды, которые заставят агента прочитать приватные файлы и выдать их в ответе. Это классический вектор prompt injection, но в контексте GitHub Workflows он позволяет обойти все стандартные механизмы доступа.

Для разработчиков, использующих AI-агентов в CI/CD (Claude Code, Codex, Cursor), это означает необходимость строгой изоляции входных данных от публичных источников. Рекомендуется валидировать и санитизировать содержимое Issue перед передачей в промпт, а также ограничивать права агентов на чтение приватных репозиториев. GitHub пока не выпустил официального патча, но уязвимость уже подтверждена.

#SAFETY #GitHub #Security #Promptinjection #Agents #CyberSecurity #AIworkflows