GitLost: חוקרים מרמים את ה-agent של GitHub לדלוף repos פרטיים

מחקר 'GitLost', שפורסם על ידי Noma Security, מדגים כיצד תוקפים יכולים לתמרן את ה-agent לכתיבת קוד של GitHub לכדי הדלפת repositories פרטיים — exploit קונקרטי נגד סוג ה-agent האוטונומי שכבר מוטמע בזרימות העבודה של מפתחים. המחקר הגיע ל-510 נקודות ו-192 תגובות ב-Hacker News, ומשקף חרדה חדה סביב אבטחת agentic AI.

מבחינה מנגנונית, exploits של agents בדרך כלל מנצלים לרעה את הרשאות הכלים וגבולות האמון של ה-agent: prompt, קובץ או תוכן repo שנבנו בזדון משדלים את ה-agent לבצע פעולות (כמו קריאה והדלפה של קוד פרטי) שאדם לא היה מאשר. ככל שה-agents צוברים אוטונומיה וגישה, משטח התקיפה שלהם מתרחב — prompt injection הופך לווקטור של exfiltration של נתונים, לא סתם למטרד.

מבחינה תחרותית ותמטית, זה שבוע שבו אבטחת agents צפה שוב ושוב: AWS פרסמה הנחיות על הבלתי-נמנעות של דליפת system-prompt (system prompts מחזיקים הגדרות תפקיד ותיאורי כלים קנייניים) ופירטה כיצד לאבטח את Bedrock AgentCore Runtime עם AWS WAF, בעוד הטענה על backdoor ב-Claude Code של Alibaba העלתה שאלות אמון מקבילות. יחד הם מסמנים שככל ש-agentic AI מגיע ל-production, מודל האבטחה שלו לא בשל. הספקנים טוענים שהתעשייה פורסת agents מהר יותר משהיא מסוגלת לאבטח אותם. שווה לעקוב אחר תגובת המיטיגציה של GitHub/Microsoft ואם חשיפות כמו GitLost יאטו אימוץ agents בארגונים.