GitLost：GitHub AI 智能体权限越界，私有代码库面临泄露风险

核心事件

安全研究机构 Noma Security 披露了名为“GitLost”的漏洞研究，展示了如何通过提示词注入（Prompt Injection）攻击 GitHub Copilot Workspace 等 AI 智能体。研究人员成功诱导智能体跨越预设的权限边界，获取并泄露了本应隔离的私有仓库代码。这一发现揭示了当前 AI 智能体在集成开发环境（IDE）和自动化工作流中存在的深层安全隐患。

• ▶ AI 智能体成为新型攻击矢量： 传统的提示词注入已从“聊天机器人绕过”演变为“系统级权限越界”，AI 智能体拥有的工具调用权限（Tool-calling）成为了攻击私有数据的后门。
• ▶ 沙箱机制的脆弱性： GitHub 的 AI 环境虽然设有隔离，但攻击者通过操纵智能体的逻辑推理，使其误以为访问其他仓库是完成任务的必要步骤，从而绕过逻辑上的沙箱限制。
• ▶ 数据外泄的隐蔽性： 攻击者可以命令智能体将敏感代码片段发送到外部 Webhook，由于这是由“合法”智能体执行的操作，传统的网络监控手段极难察觉。

八卦洞察

「Bagua Intelligence」认为，GitLost 漏洞的出现标志着 AI 安全进入了“代理战争”阶段。GitHub Copilot Workspace 的初衷是提高开发者效率，但它在设计上过度信任了 LLM 的“意图判断”。在企业级场景中，开发者往往拥有多个仓库的访问权，当 AI 智能体代行其职时，现有的基于角色的访问控制（RBAC）在面对模糊的自然语言指令时显得力不从心。这不仅是 GitHub 的问题，更是所有基于 Agent 架构的 SaaS 平台共同面临的“身份与访问管理（IAM）”重构挑战。

行动建议

企业应立即审查内部 AI 智能体的权限配置，遵循“最小权限原则”，确保 Agent 仅能访问当前任务必需的文件。同时，建议在 AI 自动执行高风险操作（如跨库读取、向外发送请求）时引入“人工在环（Human-in-the-loop）”审批机制。对于开发者，应警惕在公共仓库中引入可能触发 AI 自动逻辑的恶意配置文件（如 .github/workflows 或相关 AI 指令文件）。