GitHubのAIエージェント機能を悪用し、パブリックなIssueからプライベートリポジトリの情報を漏洩させる手法「GitLost」が公開
要点
- セキュリティ企業Noma Securityの研究者が、GitHubの「Agentic Workflows」を悪用して組織内の非公開データを漏洩させる手法を実証した。
- 攻撃者はパブリックリポジトリに一見通常のIssueを投稿するだけで、盗まれた認証情報や特別なアクセス権なしに攻撃を実行できる。
- AIエージェント（自律的に判断してタスクを実行するAIシステム）に与えられたプライベートリポジトリの読み取り権限が悪用され、非公開のデータがパブリックなコメント欄に投稿される仕組みとなっている。
- GitHubが用意していた出力スキャンなどのセキュリティ用ガードレールは、指示の前に「Additionally」などの特定の1単語を加えるだけで回避できたという。
- 専門家は、本手法が「プライベートデータへのアクセス」「信頼できない外部コンテンツの取り込み」「外部へのデータ送信手段」が揃った「死の三つ組」に該当すると指摘している。
リード文
セキュリティ企業であるNoma Securityの研究チームは、GitHubが提供しているAIエージェント機能「GitHub Agentic Workflows」を悪用し、組織内のプライベートリポジトリにある非公開データを外部へ漏洩させる攻撃手法を明らかにした。「GitLost」と名付けられたこの手法は、特別な認証情報を盗み出す必要がなく、パブリックリポジトリに通常のIssue（課題や要望などを管理するチケット）を投稿するだけで実行可能であるという。
本文（事実の紹介）
AIエージェントを操る「GitLost」の仕組み
標的となった「GitHub Agentic Workflows」は、GitHubが2026年2月にパブリックプレビュー（正式リリース前の一般公開テスト）として提供を開始した新機能である。この機能は、開発者が自動化スクリプトを記述する代わりに、Markdownファイルに自然な英語で指示を書き込むだけで、AIエージェントがIssueやプルリクエスト（コードの変更提案を反映させる仕組み）を読み取り、ツールを実行し、自律的に回答を投稿するものである。このAIエージェントは、GitHub CopilotやAnthropicのClaude、GoogleのGemini、OpenAIのCodexなどを基盤として動作する。
デフォルトの状態ではワークフローに付与されるトークン（認証用の識別子）は読み取り専用に制限されているが、組織は複数リポジトリの文脈をエージェントに把握させるため、プライベートリポジトリを含む組織全体の読み取り権限を持つトークンを付与することができる。GitLostはこの設定の隙を突く形で機能する。
この問題の根底にあるのは、「間接プロンプトインジェクション」と呼ばれる広く知られた脆弱性である。これは、AIエージェントが、リポジトリの所有者から与えられた正当な指示と、外部から読み込んだコンテンツの中に紛れ込んでいる悪意ある指示とを、確実に区別できない性質に起因している。攻撃者がIssueのテキスト内に特定の指示を忍び込ませておくと、AIエージェントはそれを自身の所有者からの命令と誤認して実行してしまう。
実証実験で示された漏洩のプロセス
Noma Securityが実施した実証実験（PoC）では、顧客ミーティングを終えたセールス担当のバイスプレジデント（VP）からの日常的な業務連絡を装った、悪意ある内容のIssueが作成された。
この攻撃対象となったワークフローは、Issueが割り当てられた際に起動して内容を読み取り、コメントで返信するようあらかじめ設定されていた。さらに、このワークフローには組織内の他のリポジトリに対する読み取り権限も与えられていた。
自動化されたシステムによってこのIssueが割り当てられると、起動したAIエージェントは攻撃者の指示通りに動作し、本来外部からは見えないはずのプライベートリポジトリからREADMEファイルの内容を取得した。そして、その取得した非公開データを、誰でも閲覧できるパブリックなIssueのコメント欄にそのまま貼り付けて投稿してしまったのである。
ガードレールの回避
GitHub側も、AIエージェントが外部から操作されるリスクを認識していないわけではない。同社のドキュメントでは「AIエージェントはプロンプトインジェクションや、悪意あるリポジトリコンテンツ、あるいは侵害されたツールによって操作される可能性がある」と警告されている。
そのため、本製品にはセキュリティ対策として、プログラムを隔離された安全な仮想領域で実行するサンドボックス化、デフォルトでの読み取り専用トークンの割り当て、入力データのクレンジング（無害化処理）、さらにはエージェントが投稿を行う前にその出力案をスキャンして脅威を検知する防御策などが組み込まれている。
しかし、Noma Securityの報告によると、実際のテストではわずか1単語を変更するだけでこれらのガードレールをくぐり抜けることができたという。具体的には、悪意ある指示の前に「Additionally（さらに）」という接頭辞を付け加えたところ、AIモデルはこの指示を拒否すべき不審な命令ではなく、前段に続く正当な追加タスクであると解釈し、脅威検出機能を通過して実行に移したとされている。
構造的な課題と「死の三つ組」
Noma Securityでセキュリティリサーチリードを務めるサシ・レヴィ（Sasi Levi）氏は、The Hacker Newsに対し、「これまでのプロンプトインジェクションの事例は、主にAIエージェントの発言内容を操作することに重点が置かれていた。それに対しGitLostは、エージェントが与えられている権限をどのように行使するかを操作するものである」とその特異性を説明している。
レヴィ氏によれば、ここで標的となっているAIエージェントは、単なるチャットウィンドウのような会話型インターフェースではなく、組織のCI/CD（ビルドやテスト、デプロイなどの開発工程を自動化する仕組み）に隣接するインフラ内部で動作し、正規のアクセス権限を持つアクターとして機能している。攻撃者は、組織のサーバーへ直接侵入する必要も、盗んだ資格情報を使用する必要もなく、また非公開領域への書き込み権限すら必要としない。ただ公開されているパブリックなIssueを立てるだけで、エージェントを通じて機密情報を引き出すことが可能になる。
この状況は、開発者のサイモン・ウィリソン（Simon Willison）氏が「死の三つ組（lethal trifecta）」と名付けた条件に合致しているとレヴィ氏は指摘する。この三つ組とは、次の3つの要素が同時に存在することを指す。
- エージェントがプライベートなデータにアクセスできること
- 信頼できない外部のコンテンツ（攻撃者が操作可能なテキストなど）をインプットとして取り込むこと
- 取得したデータを外部へ送信または出力する手段（コメント投稿機能など）があること
これら3つの要素が組み合わさることで、情報の漏洩経路が完成してしまう。レヴィ氏は、この現象は単なるプログラムのバグではなく、AIエージェントに対して権限を付与しつつ、攻撃者が関与できるテキストデータを読み取らせるという設計そのものから生じる「構造的な帰結」であると述べている。