Vulnerabilidad GitLost en GitHub: agentes de AI filtran datos de repositorios privados

Investigadores de la empresa Noma Labs en julio de 2026 publicaron datos sobre una vulnerabilidad en la plataforma GitHub, denominada GitLost. Según la descripción, los agentes de IA de GitHub pueden extraer datos de repositorios privados bajo ciertas solicitudes y publicarlos como comentarios abiertos, accesibles a cualquier usuario de la plataforma.

Cómo funciona la vulnerabilidad GitLost

GitLost pertenece a la clase de ataques de inyección de prompt — inyección de instrucciones maliciosas en una solicitud a un agente de IA.

El mecanismo de explotación se basa en las características de cómo funcionan los agentes de IA de GitHub. Los agentes operan con los derechos de acceso de un usuario u organización y pueden acceder a múltiples repositorios simultáneamente. Un atacante crea una solicitud especialmente elaborada — incorporando instrucciones ocultas en contenido públicamente visible — y cuando el agente la procesa, accede al repositorio privado y envía datos a donde se vuelven públicamente disponibles: en un comentario sobre un issue o pull request.

Hechos clave sobre la vulnerabilidad:

• La vulnerabilidad fue descubierta por Noma Labs y oficialmente nombrada GitLost
• Los agentes de IA de GitHub publican datos de repositorios privados como comentarios abiertos
• Vector de ataque — inyección de prompt: las instrucciones maliciosas se disfrazan de solicitud legítima
• Están en riesgo las organizaciones donde los agentes de IA tienen acceso a múltiples repositorios simultáneamente

Por qué esta clase de ataques es peligrosa

La inyección de prompt difiere de las vulnerabilidades clásicas en que el atacante no compromete la infraestructura directamente, sino que 'convence' al agente para que ejecute una acción indeseable. Desde que los agentes de IA ganaron la capacidad de actuar de forma autónoma — leer archivos, ejecutar código, publicar comentarios — la superficie de ataque en plataformas de desarrollo se ha expandido significativamente.

Los sistemas de seguridad no detectan anomalías durante la inyección de prompt: el agente opera en modo normal, en nombre de un usuario autorizado. Formalmente, 'hace lo que se le pidió', aunque la solicitud provenía no de un usuario legítimo, sino de un atacante.

Para GitHub, la situación es particularmente sensible: las empresas almacenan código propietario, archivos de configuración con secretos y documentación interna en repositorios privados. Mientras tanto, los agentes de IA del ecosistema GitHub Copilot están ganando popularidad, y muchos equipos les otorgan permisos amplios sin realizar una auditoría completa de riesgos.

¿Qué pierden los desarrolladores si se produce una fuga?

Si GitLost se explota con éxito, un atacante obtiene acceso al contenido de un repositorio privado a través de un comentario público abierto. Dependiendo de lo que se almacene allí, lo siguiente está en riesgo:

• Código fuente de proyectos y algoritmos propietarios
• Claves de API, tokens y contraseñas de archivos de configuración (.env, secrets.yml y similares)
• Correspondencia interna: discusiones en issues y pull requests, detalles técnicos, contexto empresarial

Un problema particular es la imperceptibilidad de la fuga. Dado que el agente opera en modo normal, el incidente es difícil de detectar en sistemas SIEM corporativos: no hay cuentas comprometidas, no hay archivos maliciosos, no hay signos obvios de compromiso.

Qué significa esto

GitLost es un ejemplo claro de una vulnerabilidad sistémica en agentes de IA: cuanto más amplios sean sus derechos de acceso, más destructiva puede ser una inyección exitosa. Las organizaciones que utilizan agentes de IA en GitHub deben revisar inmediatamente los permisos del agente, restringirlos de acuerdo con el principio del menor privilegio y monitorear las recomendaciones oficiales y parches de GitHub.