GitLost, la vulnerabilidad de GitHub que hace que agentes de IA filtren datos de repositorios privados

Investigadores de Noma Labs publicaron en julio de 2026 los detalles de una vulnerabilidad en GitHub bautizada como GitLost. Según la descripción, ante determinadas solicitudes los agentes de IA de GitHub pueden extraer datos de repositorios privados y publicarlos como comentarios abiertos, visibles para cualquier usuario de la plataforma.

Cómo funciona la vulnerabilidad GitLost

GitLost pertenece a la categoría de ataques de prompt injection, que consisten en inyectar instrucciones maliciosas en la solicitud que recibe un agente de IA.

La explotación aprovecha la forma en que trabajan los agentes de IA de GitHub. Estos agentes operan con los permisos de acceso de un usuario o de una organización y pueden consultar varios repositorios a la vez. El atacante elabora una solicitud diseñada a tal efecto, incrustando instrucciones ocultas en contenido de acceso público. Al procesarla, el agente accede al repositorio privado y vuelca los datos en un lugar donde quedan expuestos públicamente: un comentario en una incidencia (issue) o en una solicitud de fusión de código (pull request).

Datos clave sobre la vulnerabilidad:

• La descubrió Noma Labs y recibió el nombre oficial de GitLost
• Los agentes de IA de GitHub publican datos de repositorios privados como comentarios abiertos
• El vector de ataque es el prompt injection: la instrucción maliciosa se camufla como una solicitud legítima
• Están en riesgo las organizaciones en las que los agentes de IA tienen acceso simultáneo a varios repositorios

Por qué es peligroso este tipo de ataque

El prompt injection se diferencia de las vulnerabilidades clásicas en que el atacante no compromete la infraestructura directamente, sino que «convence» al agente de que realice una acción no deseada. Desde que los agentes de IA pueden actuar de forma autónoma (leer archivos, ejecutar código, publicar comentarios), la superficie de ataque de las plataformas de desarrollo se ha ampliado considerablemente.

Ante un prompt injection, los sistemas de seguridad no registran anomalías: el agente funciona con normalidad y en nombre de un usuario autorizado. Formalmente, «hace lo que le han pedido», aunque quien se lo «pidió» no fue un usuario legítimo, sino un atacante.

En el caso de GitHub, la situación es especialmente delicada: las empresas guardan en repositorios privados código propietario, archivos de configuración con secretos y documentación interna. Al mismo tiempo, los agentes de IA del ecosistema GitHub Copilot ganan popularidad, y muchos equipos les conceden permisos amplios sin hacer una auditoría de riesgos completa.

¿Qué pierden los desarrolladores con la filtración?

Si logra explotar GitLost, el atacante obtiene acceso al contenido de un repositorio privado a través de un comentario público. Según lo que contenga el repositorio, quedan expuestos:

• el código fuente de proyectos y algoritmos propietarios
• claves de API, tokens y contraseñas de archivos de configuración (.env, secrets.yml y similares)
• la comunicación interna: debates en issues y pull requests, detalles técnicos y contexto de negocio

Un problema añadido es que la filtración pasa desapercibida. Como el agente funciona con normalidad, el incidente es difícil de detectar en los sistemas SIEM corporativos: no hay cuentas comprometidas, ni archivos maliciosos, ni señales evidentes de intrusión.

Qué significa esto

GitLost ilustra una vulnerabilidad sistémica de los agentes de IA: cuanto más amplios son sus permisos de acceso, más destructiva resulta una inyección exitosa. Las organizaciones que usan agentes de IA en GitHub deberían revisar de inmediato los permisos de esos agentes, limitarlos según el principio de mínimo privilegio y seguir las recomendaciones oficiales y los parches de GitHub.