GitLost: We Tricked GitHub's AI Agent into Leaking Private Repos25 days agohttps://noma.security/blog/gitlost-how-we-tricked-githubs-ai-agent-into-leaking-...Noma Labs 发现了 GitLost，这是 GitHub 新推出的智能工作流中的一个关键提示注入漏洞。该漏洞允许未经身份验证的攻击者通过在同一组织的公共仓库中发布精心构造的议题，从私有仓库中窃取数据。GitHub AI 代理由工作流事件触发，会将被隐藏在议题内容中的恶意指令视为可信命令。攻击者可以利用“此外”等关键词绕过 GitHub 的安全防护机制，泄露私有数据。更多...