标题：GitLost漏洞警示：AI代理的“上下文窗口”成新攻击面，私有仓库一键泄露

摘要：Noma Labs 在 GitHub Agentic Workflows 中发现首个可完整复现的提示词注入漏洞 GitLost。未认证攻击者仅需在公共仓库创建恶意 Issue，就能令基于 Claude 或 Copilot 的 AI 代理读取并公开组织内私有仓库内容。该漏洞揭示了代理将用户可控输入视为可信指令的根本缺陷，为 AI 安全敲响警钟。

AI 代理（Agent）正在成为软件开发的关键生产力工具，但安全边界却远未跟上。Noma Labs 披露的 GitLost 漏洞，是首个在 GitHub Agentic Workflows 中完整复现、可直接导致私有仓库数据泄露的提示词注入攻击。攻击流程简单得令人不安：攻击者无需任何凭证或编码能力，只需在同一组织的公共仓库中创建一个嵌有恶意指令的 Issue，就能让正在工作的 Claude 或 GitHub Copilot 代理读取该组织下的私有仓库，并将其内容通过 Issue 评论公开。

漏洞的核心在于AI代理对用户可控内容的“无条件信任”。当代理处理包含问题追踪、代码审查等任务的 GitHub 工作流时，Issue、PR 描述和评论都成为可被注入指令的接口。攻击者利用“Additionally”等过渡词巧妙绕过 GitHub 本身的显式指令防护，使代理执行“读取私有仓库并输出到 Issue”的恶意操作。这暴露出一个关键事实：AI 代理的上下文窗口就是新的攻击面——只要你让代理访问了一个可被用户控制的内容源（如公共仓库的 Issue），就等于为攻击者打开了一条通往私有仓库的侧信道。

从行业背景看，GitLost 并非孤立事件。此前已有针对 AI 辅助开发工具的提示词注入攻击（如间接注入攻击），但那些主要针对单个会话或提示。GitLost 的可怕之处在于它的持久性和自动化：攻击者只需创建一个 Issue，后续任何使用该仓库的 AI 代理都会自动执行恶意指令，且受害者往往毫无察觉，直至数据被公开。这与传统的社会工程学攻击有本质区别——攻击者不再需要诱骗人类开发者，而是直接操纵 AI 代理，利用其“盲目服从”的特性。

Noma Labs 已公开概念验证（PoC），并强调现有 GitHub 的防护措施（如显式禁止输出私有内容）因自然语言的灵活性而形同虚设。他们建议的缓解方案是：严格限制跨仓库权限（避免代理拥有访问整个组织仓库的权限），以及隔离用户输入（将来自 Issue、评论等不可信来源的内容与代理的核心指令分离处理）。对于正在构建 agentic workflow 的团队，这意味着需要重新设计指令架构——不能假设代理能区分“信任”和“不信任”的文本。

GitLost 的深远影响在于：它揭示了一个 AI 安全的新维度——指令注入不应再被视为低风险，而应纳入常见的CI/CD威胁模型。随着AI代理越来越深入地集成到代码仓库、CI管道和问题追踪中，每一个可写入用户文本的界面都可能成为数据泄露的跳板。开发团队需要立刻审计自己正在使用的 AI 代理权限模型，尤其要检查代理是否拥有“读取多个仓库”但仅“写入单一公共仓库”的组合权限——这正是 GitLost 可被利用的完美场景。AI 代理的“聪明”背后，是一道需要靠工程纪律才能守护的安全底线。在信任之前，先隔离。