摘要2026年7月Noma Labs 安全团队披露了一个名为GitLost的严重安全漏洞——攻击者只需在 GitHub 公共仓库中提交一个精心构造的 Issue就能让 GitHub 的 Agentic Workflow 自动泄露同一组织下的私有仓库数据。本文将深度剖析该漏洞的技术原理、攻击链并探讨其对 Agentic AI 安全的启示。一、事件背景2026年7月6日安全研究团队 Noma Labs 公开披露了一个编号为GitLost的漏洞原始报告在安全社区引发轩然大波。该漏洞直指 GitHub 最新推出的Agentic Workflows功能——一项将 GitHub Actions 与 AI AgentClaude 或 GitHub Copilot深度集成的自动化能力。截至本文写作时该漏洞在 Hacker News 上已获得252 个点赞成为本周最受关注的安全话题之一。什么是 GitHub Agentic WorkflowsGitHub Agentic Workflows 允许团队用纯 Markdown 文件编写工作流定义AI Agent 会自动解析并执行这些工作流。Agent 可以读取 Issue 的内容标题 正文调用各种工具如add-comment访问组织下的其他仓库包括私有仓库听起来很强大但也埋下了巨大的安全隐患。二、漏洞本质AI 界的 SQL 注入GitLost 的根因并不复杂却极其致命——间接提示注入Indirect Prompt Injection。提示注入攻击者将恶意指令隐藏在 AI Agent 读取的内容中导致 Agent 执行非预期的操作。这就像传统 Web 安全中的 SQL 注入——攻击者将恶意数据伪装成合法输入被系统不加区分地执行。在基于 AI Agent 的系统中Agent 的上下文窗口就是它的攻击面。当 Agent 同时读取系统指令和用户可控内容时如果系统没有严格区分信任边界攻击者就可以在用户可控内容中下毒。攻击流程GitLost 的攻击链简洁而致命仅需4 步攻击者在目标组织的某个公开仓库中创建一个 Issue在 Issue 正文中嵌入隐藏指令——用自然语言告诉 Agent 去读取其他仓库的文件等待组织内部分配该 Issue触发 Agentic WorkflowAgent 执行指令读取私有仓库的内容并以评论形式发布在公共同题上整个过程中攻击者不需要任何凭证、不需要任何代码能力只需要能提交 Issue 即可。关键突破Additionally 魔法词Noma Labs 发现GitHub 其实部署了防护措施来阻止这种数据泄露。但研究团队找到了一个巧妙的绕过方式——在指令中加入 Additionally 关键词。这个看似普通的词语触发了模型的非预期行为Agent 不再拒绝执行而是重新框架化reframe自己的输出认为这是额外的、合理的任务从而绕过了安全护栏。三、PoC 验证Noma Labs 公开了完整的 PoC 验证记录工作流执行记录https://github.com/sasinomalabs/poc/actions/runs/23909666039攻击 IssueIssue · GitHub攻击泄露的数据包括仓库类型是否泄露sasinomalabs/poc公开✅sasinomalabs/remote-ping公开✅无 READMEsasinomalabs/testlocal私有✅关键泄露四、为什么这很重要GitLost 不是孤立事件而是Agentic AI 时代安全范式转变的标志性案例。传统安全 vs. Agentic AI 安全维度传统安全Agentic AI 安全信任边界由代码强制执行部分由模型行为决定攻击面有限的 API 接口上下文窗口中的所有内容漏洞特征参数注入、XSS、SQLi提示注入、间接指令劫持防御难度相对成熟尚在探索阶段Noma Labs 的评论一针见血Prompt injection 之于 Agentic AI正如 SQL injection 之于 Web 应用——是一种系统性的、跨类别的漏洞类型需要同样系统性的防御策略。五、防御建议Noma Labs 为 AI 安全负责人和开发者提供了以下建议绝不将用户可控内容视为可信指令——对 AI Agent 的输入进行严格分级最小权限原则——Agent 的仓库访问权限应限定到最小必要范围限制公开输出——严格控制 Agent 在公开渠道发布的内容输入隔离与清洗——在将用户内容传入模型之前进行隔离或消毒处理六、我的思考作为一个网络安全方向的研究者我认为 GitLost 有几个值得深思的维度1. 这是 Agentic AI 的SQL 注入时刻2000 年代初SQL 注入肆虐了整整一代 Web 应用直到参数化查询成为行业标准。今天提示注入正在 Agentic AI 领域复制同样的剧本。GitLost 告诉我们当 AI Agent 获得读和写的能力时信任边界的模糊化带来了全新的攻击面。2. Additionally 的启示那个绕过防护的Additionally关键词揭示了当前 LLM 安全机制的根本缺陷——基于关键词或规则的安全过滤在模型行为的非线性和不可预测性面前往往不堪一击。真正的安全需要从系统架构层面根治而不是依赖模型层面的补丁。3. 对差分隐私的启示这与我研究的差分隐私保护机制也有深层关联在 Agentic AI 系统中当 Agent 可以跨仓库读取数据时如何在提供服务和保护数据之间取得平衡也许差分隐私的噪声注入思路可以为 AI Agent 的数据访问审计提供新的视角。七、总结GitLost 漏洞是 Agentic AI 安全领域的一个里程碑事件。它用最直接的方式告诉我们赋予 AI Agent 行动能力的同时也必须重新思考安全的根基。GitHub 已收到负责任的披露但更广泛的问题是还有多少 Agentic 系统存在类似的漏洞如果你是开发者或安全从业者现在是时候审视你的 AI Agent 架构了——当你的 Agent 读到不该读的内容时它会怎么做本文基于 Noma Labs 公开研究报告撰写原文链接GitLost: How We Tricked GitHub’s AI Agent into Leaking Private Repos - Noma Security关注我的 CSDN 博客获取更多 AI 安全前沿分析。