Vulnerabilidade Crítica no Agente de IA do GitHub Expõe Repositórios Privados

A vulnerabilidade GitLost, revelada pela Noma Labs, expõe um ponto cego crítico na segurança de sistemas de IA, especialmente nos Agentic Workflows do GitHub. Ela permite que um atacante obtenha dados de repositórios privados por meio de um ataque de prompt injection indireto. A exploração é engenhosa: basta um issue público em um repositório da mesma organização, com comandos maliciosos camuflados. O agente de IA, configurado para ler issues, chama ferramentas e acessa outros repositórios, acaba enviando o conteúdo de um README.md privado como um comentário público.

O ponto central do problema reside na falha em estabelecer limites de confiança estritos entre diretrizes do sistema e dados de usuário não confiáveis. Esse cenário já apareceu em outras situações, como na cobertura do CEVIU News sobre a vulnerabilidade no Dialogflow CX do Google, onde uma falha permitia o sequestro de conversas de IA. Em 2 de junho de 2026, noticiamos um caso similar no Claude Code, em que um issue no GitHub já era suficiente para comprometer a cadeia de suprimentos. A lição é clara: a janela de contexto de um agente é também sua superfície de ataque. Desenvolvedores precisam de estratégias robustas como privilégio mínimo e mapeamento source-and-sink, algo que já destacamos em 17 de março de 2026, para proteger esses sistemas.

A notícia de hoje detalha a vulnerabilidade nomeada como GitLost pela Noma Labs. Em 8 de julho de 2026, o CEVIU News já havia alertado sobre uma “Falha em agente de IA do GitHub [que] expõe conteúdo de repositórios privados via Prompt Injection”, sem dar um nome específico. A reportagem atual aprofunda o entendimento técnico, apresenta o nome oficial da falha e descreve o fluxo de ataque específico, que antes era uma descrição mais generalista da ameaça.

Esta vulnerabilidade ressalta a complexidade de garantir a segurança em arquiteturas com agentes de IA. Para o desenvolvedor, a GitLost é um lembrete do desafio de proteger a propriedade intelectual e a cadeia de suprimentos de software. A segurança de sistemas que interagem com IA não pode mais se basear apenas em modelos de confiança de código; o comportamento do modelo se torna um fator crucial.

Assim como a SQL injection forçou o mercado a repensar a segurança de aplicações web, a prompt injection agora exige novas abordagens para sistemas de IA. É fundamental que as equipes de desenvolvimento priorizem auditorias contínuas, implementem princípios de menor privilégio e validem rigorosamente todas as interações do agente. Ignorar essas práticas resulta em riscos diretos à integridade e confidencialidade dos projetos.