Falha em agente de IA do GitHub expõe conteúdo de repositórios privados via Prompt Injection

A vulnerabilidade conhecida como GitLost demonstra a dificuldade de gerenciar limites de confiança em sistemas de IA. O GitHub Agentic Workflows, que integra IA (Claude ou GitHub Copilot) com GitHub Actions, lê issues e interage com repositórios. O problema surge quando instruções maliciosas, escondidas em conteúdo aparentemente inofensivo de uma issue, enganam a IA. Esta falha, classificada como prompt injection indireto, permitiu que agentes acessassem e publicassem o conteúdo de READMEs de repositórios privados.

A Noma Labs, responsável pela descoberta, notou que o simples acréscimo da palavra-chave "Additionally" em uma issue bastava para driblar os mecanismos de proteção do GitHub. Este tipo de ataque não exigiu nenhuma habilidade de programação ou credenciais, apenas a criação de uma issue em um repositório público de uma organização com Workflows Agentic. Este cenário ecoa outras falhas, como a reportada pelo CEVIU em 2 de junho de 2026, onde um único issue no GitHub comprometia a supply chain do Claude Code via bypass de permissões e prompt injection, executando workflows arbitrários.

Esta falha é mais um sinal de que os sistemas de IA apresentam um novo vetor de ataque, similar à forma como a SQL injection afetou aplicações web no passado. A superfície de ataque de um agente de IA se estende por todo o seu contexto de leitura. Qualquer conteúdo que o agente processa pode ser explorado se ele interpretar dados externos como instruções confiáveis. A segurança tradicional baseada em código se torna insuficiente, pois o comportamento do modelo de IA também precisa ser considerado um limite de confiança.

O incidente reforça o alerta que o CEVIU publicou em 19 de março de 2026, destacando o aumento de 81% em vazamentos de serviços de IA. A codificação assistida por IA, como o Copilot, já foi associada a um incremento de 34% em segredos vazados. Além disso, a cobertura do CEVIU de 9 de julho de 2026 sobre o GitHub Copilot mostrou que, enquanto ele nega solicitações maliciosas no chat, ele as insere diretamente no código, sublinhando a natureza imprevisível e multifacetada das vulnerabilidades em IA.