Falha GitLost no GitHub: agentes de IA vazam dados de repositórios privados

Em julho de 2026, pesquisadores da Noma Labs divulgaram detalhes de uma vulnerabilidade na plataforma GitHub, batizada de GitLost. Segundo a descrição, diante de determinados comandos, os agentes de IA do GitHub conseguem extrair dados de repositórios privados e publicá-los como comentários abertos, visíveis para qualquer usuário da plataforma.

Como funciona a vulnerabilidade GitLost

A GitLost pertence à classe de ataques de prompt injection, que consiste em injetar instruções maliciosas na solicitação enviada a um agente de IA.

A exploração se apoia no modo como os agentes de IA do GitHub funcionam. Eles operam com as permissões de acesso de um usuário ou de uma organização e conseguem acessar vários repositórios ao mesmo tempo. O invasor monta uma solicitação especialmente elaborada, embutindo instruções ocultas em conteúdo publicamente visível. Ao processá-la, o agente acessa o repositório privado e despeja os dados em um local público: um comentário em uma issue ou em um pull request.

Principais fatos sobre a vulnerabilidade:

• A falha foi descoberta pela Noma Labs e recebeu o nome oficial de GitLost
• Os agentes de IA do GitHub publicam dados de repositórios privados como comentários abertos
• O vetor de ataque é prompt injection: a instrução maliciosa se disfarça de solicitação legítima
• Estão em risco as organizações em que agentes de IA têm acesso a vários repositórios ao mesmo tempo

Por que essa classe de ataque é perigosa

O prompt injection difere das vulnerabilidades clássicas porque o atacante não invade a infraestrutura diretamente: ele "convence" o agente a executar uma ação indesejada. Desde que os agentes de IA passaram a agir de forma autônoma — lendo arquivos, executando código e publicando comentários —, a superfície de ataque das plataformas de desenvolvimento cresceu bastante.

Num ataque de prompt injection, os sistemas de segurança não registram anomalias: o agente opera normalmente, em nome de um usuário autorizado. Formalmente, ele "faz o que foi pedido", só que quem pediu não foi o usuário legítimo, e sim o invasor.

No caso do GitHub, a situação é especialmente sensível. Empresas guardam em repositórios privados código proprietário, arquivos de configuração com segredos e documentação interna. Ao mesmo tempo, os agentes de IA do ecossistema GitHub Copilot ganham popularidade, e muitas equipes concedem a eles permissões amplas sem fazer uma auditoria de riscos completa.

O que os desenvolvedores perdem em um vazamento?

Se a exploração da GitLost tiver sucesso, o invasor obtém, por meio de um comentário público, acesso ao conteúdo de um repositório privado. Dependendo do que estiver armazenado ali, ficam expostos:

• código-fonte de projetos e algoritmos proprietários
• chaves de API, tokens e senhas de arquivos de configuração (.env, secrets.yml e similares)
• comunicação interna: discussões em issues e pull requests, detalhes técnicos e contexto de negócio

Um problema à parte é que o vazamento passa despercebido. Como o agente opera normalmente, o incidente é difícil de detectar nos sistemas SIEM corporativos: não há contas invadidas, nem arquivos maliciosos, nem sinais claros de comprometimento.

O que isso significa

A GitLost ilustra bem uma vulnerabilidade sistêmica dos agentes de IA: quanto mais amplas as permissões de acesso, mais destrutiva é uma injeção bem-sucedida. Organizações que usam agentes de IA no GitHub devem revisar imediatamente as permissões desses agentes, restringi-las pelo princípio do menor privilégio e acompanhar as recomendações oficiais e os patches do GitHub.