Vulnerabilidade GitLost no GitHub: agentes de AI vazam dados de repositórios privados

Pesquisadores da empresa Noma Labs em julho de 2026 publicaram dados sobre uma vulnerabilidade na plataforma GitHub, chamada de GitLost. De acordo com a descrição, agentes de IA do GitHub são capazes de extrair dados de repositórios privados em determinadas solicitações e publicá-los como comentários abertos, acessíveis a qualquer usuário da plataforma.

Como funciona a vulnerabilidade GitLost

GitLost pertence à classe de ataques de injeção de prompt — injeção de instruções maliciosas em uma solicitação a um agente de IA.

O mecanismo de exploração é baseado nas características de como os agentes de IA do GitHub funcionam. Os agentes operam com os direitos de acesso de um usuário ou organização e podem acessar vários repositórios simultaneamente. Um invasor cria uma solicitação especialmente elaborada — incorporando instruções ocultas em conteúdo publicamente visível — e quando o agente a processa, ele acessa o repositório privado e envia dados para onde se tornam publicamente disponíveis: em um comentário sobre uma issue ou pull request.

Fatos principais sobre a vulnerabilidade:

• A vulnerabilidade foi descoberta pela Noma Labs e oficialmente denominada GitLost
• Agentes de IA do GitHub publicam dados de repositórios privados como comentários abertos
• Vetor de ataque — injeção de prompt: instruções maliciosas são disfarçadas como uma solicitação legítima
• Em risco estão organizações onde agentes de IA têm acesso a vários repositórios simultaneamente

Por que esta classe de ataques é perigosa

A injeção de prompt difere das vulnerabilidades clássicas em que o invasor não compromete a infraestrutura diretamente, mas sim 'convence' o agente a executar uma ação indesejável. Desde que agentes de IA ganharam a capacidade de agir autonomamente — ler arquivos, executar código, publicar comentários — a superfície de ataque em plataformas de desenvolvimento se expandiu significativamente.

Os sistemas de segurança não detectam anomalias durante a injeção de prompt: o agente opera em modo normal, em nome de um usuário autorizado. Formalmente, 'faz o que foi solicitado', embora o pedido tenha vindo não de um usuário legítimo, mas de um invasor.

Para o GitHub, a situação é particularmente sensível: as empresas armazenam código proprietário, arquivos de configuração com segredos e documentação interna em repositórios privados. Enquanto isso, agentes de IA do ecossistema GitHub Copilot estão ganhando popularidade, e muitas equipes lhes concedem permissões amplas sem realizar uma auditoria completa de risco.

O que os desenvolvedores perdem se ocorrer uma fuga?

Se o GitLost for explorado com sucesso, um invasor obtém acesso ao conteúdo de um repositório privado através de um comentário público aberto. Dependendo do que é armazenado lá, o seguinte está em risco:

• Código-fonte de projetos e algoritmos proprietários
• Chaves de API, tokens e senhas de arquivos de configuração (.env, secrets.yml e similares)
• Correspondência interna: discussões em issues e pull requests, detalhes técnicos, contexto de negócios

Um problema particular é a imperceptibilidade da fuga. Como o agente opera em modo normal, o incidente é difícil de detectar em sistemas SIEM corporativos: não há contas comprometidas, não há arquivos maliciosos, não há sinais óbvios de comprometimento.

O que isto significa

GitLost é um exemplo claro de uma vulnerabilidade sistêmica em agentes de IA: quanto mais amplos forem seus direitos de acesso, mais destrutiva pode ser uma injeção bem-sucedida. As organizações que usam agentes de IA no GitHub devem revisar imediatamente as permissões do agente, restringi-las de acordo com o princípio do menor privilégio e monitorar as recomendações oficiais e patches do GitHub.