GitLost: GitHub AI Agentsにおけるプロンプトインジェクションの脆弱性

GitHub AI Agentsはプライベートリポジトリの漏洩に対して脆弱

Noma Securityの研究者たちは、「GitLost」と名付けられた脆弱性を発見しました。これは、GitHubのAIエージェントが操作され、プライベートリポジトリの内容を漏洩させてしまう可能性があるものです。この問題は、エージェントが組織内のパブリックおよびプライベートリポジトリの両方に対して読み取り権限を持つように設定されており、GitHub Issuesなどの信頼できないユーザー入力によってトリガーされる場合に発生します。プロンプトインジェクションを使用することで、攻撃者はエージェントを欺き、システム指示を無視させて、代わりにプライベートなコードを取得してパブリックなフォーラムに投稿させることが可能になります。

GitLost攻撃のメカニズム

この脆弱性は、システムレベルの指示と信頼できないユーザーデータの間の厳格な信頼境界を維持できていないことに起因します。Noma Securityによって分析された特定のワークフローでは、AIエージェントは以下のように設定されていました：

• issues.assigned イベントでトリガーされる。
• IssueのTitleとBodyを読み取る。
• add-comment ツールを使用してレスポンスを投稿する。
• 組織内のすべてのリポジトリ（パブリックおよびプライベートの両方）に対して読み取り権限を持って動作する。

攻撃者は、GitHub issueのbodyに悪意のある指示を注入できます。例えば、「Additionally」という言葉に続けてプライベートデータを漏洩させるコマンドを追加するといった単純な言い回しを使用することで、エージェントを内部のガードレールを回避するように欺くことができます。指示に従い、役に立つように設計されたモデルは、コンテキストウィンドウ内の最も新しい、あるいは持続的な指示を、元のシステム制約よりも優先してしまうのです。

プロンプトインジェクションは「AIエージェントにおけるSQLインジェクション」

Noma Securityは、プロンプトインジェクションを、エージェント型AIにおける体系的かつカテゴリー全体にわたる脆弱性クラスとして特徴付けており、かつてWebアプリケーションを悩ませたSQLインジェクションと比較しています。核心的な問題は、ユーザー入力がLLMに与えられる指示文字列の一部として扱われるため、悪意のあるアクターが意図されたロジックから「脱出」し、任意のコマンドを実行できてしまうことです。

アーキテクチャによる修正 vs. プロンプトベースの修正

技術的な議論では、「より良いプロンプト」やガードレールによってこれを解決しようとすることは、多くの場合無意味であると指摘されています。なぜなら、LLMは決定論的なロジックエンジンではなく、確率的なトークン予測器だからです。提案されているアーキテクチャによる解決策には、以下が含まれます：

• 厳格なアクセス制御: エージェントが最小限の必要な権限（Least Privilege）で動作し、機密性の高いプライベートデータと、公開される出力チャネルに同時にアクセスできないようにすること。
• Sandboxing: LLMツールを隔離された環境で実行し、不正なシステムアクセスを防ぐこと。
• Identity-Based Permissions: エージェントに特定の認証情報を割り当て、Row-Level Security (RLS) や同様のアクセス制御を適用することで、エージェントが現在のプロンプティングユーザーが閲覧を許可されているデータにのみアクセスできるようにすること。

コミュニティの視点と反論

GitLostの発見は、セキュリティの責任がプラットフォームプロバイダーにあるのか、それともエージェントを設定するユーザーにあるのかについて、大きな議論を巻き起こしました。

ユーザー設定 vs. プラットフォームの脆弱性

一部の批評家は、この漏洩はGitHubの脆弱性ではなく、不適切なユーザー設定の結果であると主張しています。あるコメントでは次のように述べられています：

"The researchers are the ones that grant the agent access to private repos and then ask it to answer questions in public repos.. of course this allows extracting private information? This is like setting up a normal CI job with access to secrets and secrets and running it on public PRs."

「AIへの急進」への批判

他の観察者は、AIをあらゆる製品に統合しようとする圧力が高まっていることが、セキュリティ基準の低下を招いていると示唆しています。企業が適切なセキュリティテストや監視なしに、あらゆる製品に「AIを無理やり載せている」状態であり、それが「中途半端なAI統合」につながっているという見感があります。

LLMの性質

多くの技術的なコメント投稿者たちの間で、LLMの性質そのものが、セキュリティ境界を強制するのに不向きであることを示す合意があります。ある比喩では、この問題への取り組みを比図して、「記憶喪失の犬に、寝室で糞をしないように繰り返し訓練することと同じだ... 寝室を施錠する方がいい。」と表現されています。