Die Sicherheitsfirma Noma legte GitLost offen, eine Luecke, die es einem einfachen oeffentlichen GitHub-Issue erlaubte, GitHubs KI-Agenten dazu zu bringen, private Repo-Daten zu leaken. Laut Noma, deren Arbeit von Dark Reading, The Hacker News und SiliconANGLE berichtet wurde, brauchte der Trick weder Code noch ein Konto beim Ziel. Es ist ein Musterbeispiel fuer die Risiken der KI-Agenten-Sicherheit. So lief es ab.
Was GitHub Agentic Workflows sind
GitHub startete kuerzlich Agentic Workflows, das GitHub Actions - sein Automatisierungssystem - mit einem KI-Agenten auf Basis von Claude oder GitHub Copilot verbindet. Teams schreiben den Workflow in Markdown, und der Agent liest Issues, ruft Werkzeuge auf und antwortet selbst. Es ist ein echter KI-Coding-Agent, verdrahtet mit Ihren Repositories.
Der Haken: ein autonomer Agent handelt auf jeden Text, den er liest. Und ein Teil davon stammt aus nicht vertrauenswuerdigen, oeffentlichen Quellen.
Wie der Angriff ablief
Laut Noma nutzte der Exploit indirekte Prompt-Injection - feindliche Anweisungen, vergraben im Inhalt, den der Agent liest, denen das Modell dann folgt, als kaemen sie vom Betreiber.
Der anfaellige Workflow loeste beim Zuweisen eines Issues aus. Er las Titel und Text, postete einen Kommentar als Antwort und lief mit Lesezugriff auf die oeffentlichen und privaten Repos der Organisation. Der Angriff, Schritt fuer Schritt:
- Ein Angreifer oeffnete ein oeffentliches Issue in einem oeffentlichen Repo derselben Organisation.
- Im Text versteckt, getarnt als Routineanfrage eines Vertrieblers, standen Klartext-Befehle fuer den Agenten.
- Als die GitHub-Automatisierung das Issue zuwies, folgte der Agent ihnen: er holte README-Dateien aus einem oeffentlichen und einem privaten Repo.
- Dann postete er diesen privaten Inhalt als oeffentlichen Kommentar, den jeder lesen konnte.
Kein Exploit-Code. Kein Login beim Ziel. Nur ein gut formuliertes Issue.
Warum das wichtig ist
GitLost ist kein Bug in einer Codezeile. Es ist das Kernrisiko agentischer KI: ein Agent mit breitem Lesezugriff, der auch nicht vertrauenswuerdige Eingaben liest, kann von diesen Eingaben gesteuert werden. Das Modell kann "Anweisungen meines Betreibers" nicht zuverlaessig von "Text in einem Issue, das ich lesen sollte" unterscheiden.
Das ist dieselbe Schwaeche wie hinter der Prompt-Injection allgemein - hier gegen ein echtes Produkt mit Zugriff auf privaten Code.
So schuetzen Sie sich
- Geringstes Privileg. Geben Sie einem Agenten-Workflow keinen breiten Lesezugriff auf private Repos, die er nicht braucht.
- Misstrauen Sie unsicheren Triggern. Vorsicht bei Workflows, die durch oeffentliche Issues, Kommentare oder Pull Requests ausgeloest werden - das ist vom Angreifer kontrollierter Text.
- Trennen Sie Anweisungen und Daten. Behandeln Sie alles, was der Agent liest, als Daten, nicht als Befehle, und halten Sie Ihren vertrauten Prompt getrennt.
- Mensch in der Schleife. Verlangen Sie Pruefung, bevor ein Agent etwas Sensibles postet oder darauf handelt.
Die ehrliche Erkenntnis
Zwei Vorbehalte. Erstens wurde GitLost verantwortungsvoll an GitHub gemeldet - es ist eine gezeigte Schwaeche, berichtet von Sicherheitsmedien, kein Beleg fuer Massenausnutzung. Zweitens ist die Loesung nicht exotisch: geringstes Privileg, Hygiene bei unsicheren Eingaben und menschliche Pruefung sind Standardsicherheit, angewandt auf eine neue agentische Flaeche.
Die ehrliche Lesart: agentische Workflows sind maechtig, weil sie Ihre Issues lesen und auf Ihren Repos handeln - und gefaehrlich aus genau demselben Grund. Wenn Sie Agenten mit echten Systemen verdrahten, nehmen Sie an, dass jeder gelesene Text eine Anweisung sein koennte, und begrenzen Sie, was sie erreichen koennen. Um von Anfang an faehige, brave Modelle zu waehlen, hilft unser Ueberblick beste Coding-LLMs 2026.
