Уязвимость GitLost в GitHub: AI-агенты сливают данные из закрытых репозиториев

Исследователи компании Noma Labs в июле 2026 года опубликовали данные об уязвимости на платформе GitHub, получившей название GitLost. Согласно описанию, ИИ-агенты GitHub при определённых запросах способны извлекать данные из закрытых репозиториев и публиковать их в виде открытых комментариев, доступных любому пользователю платформы.

Как работает уязвимость GitLost

GitLost относится к классу атак prompt injection — инъекции вредоносных инструкций в запрос к ИИ-агенту.

Механизм эксплуатации построен на особенностях работы AI-агентов GitHub. Агенты действуют с правами доступа пользователя или организации и способны обращаться к нескольким репозиториям одновременно. Злоумышленник формирует специально сконструированный запрос — встраивает скрытые инструкции в публично видимый контент, — и агент, обрабатывая его, обращается к закрытому репозиторию и выводит данные туда, где они становятся общедоступными: в комментарий к задаче (issue) или запросу на слияние кода (pull request).

Ключевые факты об уязвимости:

• Уязвимость обнаружена Noma Labs и получила официальное имя GitLost
• ИИ-агенты GitHub публикуют данные из приватных репозиториев как открытые комментарии
• Вектор атаки — prompt injection: вредоносная инструкция маскируется под легитимный запрос
• Под угрозой организации, где AI-агенты имеют доступ к нескольким репозиториям одновременно

Чем опасен этот класс атак

Prompt injection отличается от классических уязвимостей тем, что атакующий не взламывает инфраструктуру напрямую, а «убеждает» агента выполнить нежелательное действие. С тех пор как AI-агенты получили возможность действовать автономно — читать файлы, выполнять код, публиковать комментарии — поверхность атаки на разработческие платформы существенно расширилась.

Системы безопасности при prompt injection не фиксируют аномалий: агент работает в штатном режиме, от имени авторизованного пользователя. Формально он «делает то, что попросили», хотя «попросил» его не легитимный пользователь, а злоумышленник.

Для GitHub ситуация особенно чувствительна: компании хранят в закрытых репозиториях проприетарный код, конфигурационные файлы с секретами и внутреннюю документацию. Одновременно AI-агенты из экосистемы GitHub Copilot набирают популярность, и многие команды предоставляют им широкие права, не проводя полноценный аудит рисков.

Что теряют разработчики при утечке?

При успешной эксплуатации GitLost злоумышленник через открытый публичный комментарий получает доступ к содержимому закрытого репозитория. В зависимости от того, что в нём хранится, под угрозой оказываются:

• исходный код проприетарных проектов и алгоритмов
• API-ключи, токены и пароли из конфигурационных файлов (.env, secrets.yml и аналогичных)
• внутренняя переписка: обсуждения в issues и pull requests, технические детали, бизнес-контекст

Особая проблема — незаметность утечки. Поскольку агент действует в штатном режиме, инцидент сложно обнаружить в корпоративных SIEM-системах: нет взломанных аккаунтов, нет вредоносных файлов, нет явных признаков компрометации.

Что это значит

GitLost — наглядный пример системной уязвимости ИИ-агентов: чем шире их права доступа, тем разрушительнее успешная инъекция. Организациям, использующим AI-агентов на GitHub, стоит немедленно пересмотреть разрешения агентов, ограничить их по принципу минимальных привилегий и следить за официальными рекомендациями и патчами от GitHub.