Enclaves limitam o que agentes aprendem sobre repositórios privados

O ponto de partida é o caso GitLost, divulgado pela Noma Labs. Os pesquisadores montaram um agente com permissão para ler repositórios públicos e privados de uma organização e responder issues em um repositório público. Uma issue pública maliciosa bastou para o agente postar o conteúdo de um repositório privado em comentário público. Não houve fuga de sandbox nem roubo de token: o agente foi convencido a usar permissões legítimas de um jeito que o mantenedor não queria.

A resposta da GitHub Next é o enclave, uma primitiva experimental dos GitHub Agentic Workflows, que ficaram em disponibilidade geral no GitHub Universe da semana anterior. O enclave é um sandbox de uso único. O agente primário só enxerga o repositório onde roda e delega o trabalho em outro repositório informando o repo, a computação e um schema de resposta. Um broker confiável valida o pedido, roda o enclave isolado e valida a resposta. Schemas são limitados a booleanos, enumerações, inteiros limitados e combinações deles, sem strings livres nem anexos.

A quantidade de informação que sai é medida em bits, por repositório e por execução. Sensibilidade confidential permite 8 bits. No exemplo da fonte, três valores de compatibilidade e dois de migração dão seis respostas possíveis, ou 3 bits. Somam-se 4 bits de timing (doze faixas de tempo) e 1 bit de erro, chegando a 8. O custo é cobrado antes da execução, pelo pior caso. Enclaves de script (Python sobre snapshots somente leitura, sem rede) e de agente (rede restrita ao provedor de modelo) debitam o mesmo livro-caixa. Erros são canônicos e os logs de auditoria redigem a saída livre.

A própria fonte delimita a garantia: ela limita a comunicação, não declara toda resposta segura. A resposta de compatibilidade é uma divulgação intencional, um agente comprometido pode sinalizar algo dentro do orçamento, e o orçamento é por execução, então a frequência das execuções também conta.

A cobertura anterior do CEVIU mostra a mesma linha de raciocínio, mas em outro nível. Em 11 de março de 2026, o CEVIU publicou "Segurança de Agentes de IA: A 'Caixa' Determinística", defendendo uma caixa determinística ao redor do agente. Em 26 de maio de 2026, "Credential Brokering para Agentes de IA, Explicado" tratou do risco de prompt injection levar agentes a vazar credenciais. Os enclaves aplicam essa lógica ao fluxo de informação entre repositórios: o broker decide o que passa, sem depender de o agente entender o ataque. Isso é uma conexão de princípio, não uma evolução de um mesmo produto.

Para quem opera agentes com acesso a repositórios mistos, a leitura é que permissão de leitura mais permissão de escrita pública é a combinação perigosa, e filtrar prompt não resolve. Enclaves trocam confiança no modelo por um limite mensurável em bits. O custo prático é projetar schemas estreitos e pensar na frequência das execuções, já que o orçamento reinicia a cada run.