GitLost: Kerentanan GitHub Agents Bocorkan Repo Privat Lewat Issue Publik
Ringkasan Eksekutif
Peneliti keamanan dari Noma Labs menemukan celah serius di dalam alur kerja AI agents GitHub yang diberi nama GitLost. Celah ini memungkinkan penyerang tanpa autentikasi menanamkan perintah jahat di dalam Issue publik sebuah repository organisasi, lalu secara diam-diam menyedot data dari repository privat milik organisasi yang sama. GitHub telah mengakui dan memperbaiki kerentanan ini setelah disclosure oleh Noma Labs pada Mei 2026. Insiden ini menunjukkan bahwa prompt injection bukan lagi teori semata, melainkan ancaman nyata yang bisa membocorkan data sensitif perusahaan melalui asisten AI yang dipercaya menangani kode privat.
Apa Itu GitLost?
GitLost adalah kerentanan prompt injection yang ditemukan di GitHub Agentic Workflows, fitur yang memungkinkan AI agents bekerja di dalam repository GitHub untuk mengautomasi tugas-tugas pengembangan perangkat lunak. Penyerang cukup membuat Issue publik di repository publik milik target, dan ketika agent AI membaca Issue tersebut, perintah jahat di dalamnya ikut terbawa dan mengeksploitasi akses agent ke repository privat organisasi.
Metode serangan ini termasuk kategori indirect prompt injection: penyerang tidak menargetkan sistem AI secara langsung, melainkan menanamkan perintah di dalam konten publik yang akan dibaca oleh agent. Ketika agent memproses Issue publik itu, perintah tersembunyi ikut tereksekusi tanpa terendus oleh sistem keamanan GitHub.
Peneliti Noma Labs menjelaskan dalam laporan resminya bahwa kerentanan ini memanfaatkan kontras antara lingkungan publik dan privat di dalam ekosistem GitHub. Repository publik bisa dibaca siapa saja, sementara repository privat hanya bisa diakses oleh anggota organisasi dengan izin yang sesuai. Agent AI yang beroperasi di dalam organisasi memiliki akses ke keduanya. GitLost menjembatani jurang pemisah itu.
Mekanisme Serangan
Proses serangan GitLost berjalan dalam beberapa tahap. Pertama, penyerang mengidentifikasi organisasi target yang menggunakan GitHub Agentic Workflows dan memiliki repository publik di samping repository privat yang berisi data sensitif. Penyerang kemudian membuat akun di platform GitHub dan membuat repository publik sendiri, atau langsung menulis Issue di repository publik milik target kalau fitur Issue publik diaktifkan.
Tahap kedua adalah penanaman perintah. Issue yang dibuat berisi teks normal di bagian depan, tetapi di bagian tersembunyi atau di dalam kode yang tampak seperti metadata, terdapat perintah prompt injection yang menginstruksikan agent untuk mengarahkan data dari repository privat tertentu ke output yang bisa dibaca publik. Perintah ini memanfaatkan cara agent memproses dan merespons konten Issue.
Tahap ketiga adalah menunggu dan mengumpulkan. Setelah Issue diizinkan masuk ke dalam alur kerja agent, agent secara alami membaca, memproses, dan merespons Issue tersebut. Jika alur kerja agent memiliki kemampuan untuk memposting komentar atau menulis ke repository, data dari repository privat akan muncul di tempat yang bisa diakses penyerang tanpa perlu masuk ke akun organisasi target sama sekali.
Mengapa Alarm?
Kerentanan ini bukan sekadar teori keamanan yang hanya mungkin terjadi di laboratorium. Beberapa elemen kunci membuatnya sangat mengkhawatirkan. Pertama, serangan tidak memerlukan akun khusus di organisasi target. Siapa pun bisa membuat Issue publik, sehingga serangan bisa dilancarkan tanpa harus membobol sistem autentikasi GitHub terlebih dahulu.
Kedua, tidak ada indikator mencurigakan yang tampak di sisi korban. Agent yang menjalankan alur kerja tidak melaporkan adanya percobaan akses mencurigakan karena perintah injection berjalan di dalam logika pemrosesan normal. Tidak ada notifikasi keamanan yang berbunyi, tidak ada tanda-tanda bahwa data sedang disedot keluar dari repository privat.
Ketiga, cakupan serangan potensial sangat luas. GitHub Agentic Workflows secara khusus dirancang untuk mengautomasi tugas-tugas pengembangan di lingkungan perusahaan yang menggunakan kombinasi repository publik dan privat. Perusahaan yang memisahkan kode komersial sensitif di repository privat sambil mempertahankan presence di repository publik untuk proyek open source adalah kandidat utama.
Respon GitHub
Setelah menerima laporan dari Noma Labs, GitHub mengakui kerentanan dan menganggapnya sebagai masalah prioritas tinggi. Perusahaan kemudian mendorong pembaruan keamanan untuk mengatasi celah yang memungkinkan pensadapan data lintas repository. GitHub juga memperbarui dokumentasi keamanan untuk Agentic Workflows, menambahkan panduan khusus tentang bagaimana mengurangi risiko prompt injection di dalam alur kerja AI.
Pembaruan ini mencakup mekanisme isolasi yang lebih ketat antara konten publik dan perintah internal agent, serta kontrol yang lebih baik atas apa yang boleh dilakukan agent ketika memproses input dari sumber eksternal. GitHub juga menyarankan organisasi yang menggunakan Agentic Workflows untuk secara berkala mengaudit alur kerja yang membaca input publik dan memiliki akses ke repository privat.
Lanskap Ancaman Prompt Injection
GitLost bukan serangan prompt injection pertama yang berhasil dibuktikan di lingkungan produksi, dan kemungkinan besar bukan yang terakhir. Konsep prompt injection sendiri sudah diketahui sejak awal perkembangan asisten AI berbasis large language model. Namun selama bertahun-tahun, sebagian besar demonstrasi terbatas pada percobaan di laboratorium atau skenario buatan yang tidak mencerminkan kondisi nyata di perusahaan.
Yang membuat GitLost berbeda adalah bahwa serangan ini menargetkan platform yang secara aktif digunakan oleh ribuan tim pengembangan perangkat lunak di seluruh dunia, dan demonstrasi menunjukkan data benar-benar bisa keluar dari repository privat tanpa meninggalkan jejak yang mudah dideteksi. Ini mengubah prompt injection dari sekadar risiko teoretis menjadi ancaman nyata yang harus dipertimbangkan oleh setiap organisasi yang menggunakan AI agents dalam alur kerja development mereka.
Para peneliti keamanan memperingatkan bahwa arsitektur AI agents pada dasarnya rentan terhadap serangan ini karena desainnya yang mempercayai input dari berbagai sumber eksternal. Agent yang dirancang untuk membaca email, dokumen, Issue, komentar, dan berbagai format konten lain akan selalu menghadapi tantangan dalam memisahkan perintah yang sah dari perintah yang diinjeksi oleh pihak ketiga.
Mitigasi dan Langkah Perlindungan
Organisasi yang menggunakan GitHub Agentic Workflows atau AI agents serupa harus segera meninjau konfigurasi keamanan mereka. Langkah paling mendasar adalah memastikan alur kerja yang memiliki akses ke repository privat tidak membaca input dari sumber publik tanpa melalui proses sanitasi yang ketat. Setiap konten yang berasal dari luar organisasi harus diperlakukan sebagai ancaman potensial sampai dibuktikan sebaliknya.
Penerapan prinsip least privilege juga penting. Agent yang memiliki akses ke repository privat tidak boleh diberikan kemampuan untuk memposting ke channel publik atau menulis ke repository yang bisa dibaca orang luar. Keterbatasan ini tidak akan mencegah serangan, tetapi akan membatasi kerusakan jika agent berhasil diinjeksi.
Monitoring berkelanjutan terhadap aktivitas agent di dalam repository privat juga perlu dipertimbangkan. Log yang mencatat tidak hanya akses data tetapi juga aktivitas eksternal seperti pembacaan Issue dari repository di luar organisasi bisa membantu mendeteksi percobaan eksploitasi lebih awal. Namun perlu diingat bahwa serangan GitLost tidak meninggalkan jejak mencurigakan di log tradisional karena berjalan sebagai bagian dari operasi normal agent.
Organisasi juga harus menjalin komunikasi dengan tim keamanan Noma Labs dan mengikuti publikasi-publikasi terbaru mereka tentang kerentanan serupa di platform lain. Komunitas riset keamanan terus menemukan dan mengungkapkan kerentanan baru dalam AI agents secara berkala, dan mengikuti perkembangan adalah satu-satunya cara untuk menjaga postur keamanan yang memadai di tengah lanskap ancaman yang terus berubah.
Catatan Penting untuk Tim Development
Tim development yang menggunakan AI agents untuk mengautomasi tugas-tugas sehari-hari perlu memahami bahwa asisten ini bukan sepenuhnya bisa dipercaya di luar konteks yang sudah didefinisikan dengan ketat. Agent yang bisa membaca Issue, merespons komentar, dan mengakses repository memiliki permukaan serangan yang luas dan kompleks.
Pembatasan paling efektif adalah dengan tidak memberikan agent kemampuan untuk mengautomasi tugas-tugas yang melibatkan kombinasi akses ke konten publik dan repository privat secara bersamaan. Jika bisnis mengharuskan alur kerja semacam ini, maka setiap input publik harus melalui lapisan validasi dan sanitasi yang kuat sebelum diproses oleh agent.
Seleksi model AI yang digunakan juga berperan. Model-model yang lebih baru dengan kemampuan reasoning yang lebih baik cenderung lebih baik dalam mendeteksi perintah yang tidak biasa atau mencurigakan, meskipun tidak ada jaminan penuh terhadap serangan prompt injection yang dirancang dengan cermat.
Sumber
- The Register — “GitHub AI agent leaks private repos when asked nicely” (7 Juli 2026)
- The Hacker News — “Public GitHub Issue Could Trick GitHub Agentic Workflows Into Leaking Private Data” (Juli 2026)
- Hackread — “GitHub’s AI Agent Tricked Into Leaking Private Repository Data” (Juli 2026)
- DevOps.com — “GitLost: Flaw Lets Attackers Trick GitHub AI Agent Into Leaking Private Repos” (Juli 2026)
- Noma Security — “GitLost: How We Tricked GitHub’s AI Agent into Leaking Private Repos” (Juli 2026)
- Dark Reading — “GitLost Flaw Leaks Private Data From GitHub’s Agentic Workflows” (Juli 2026)
