Sicherheitslücke in GitHub Agentic Workflows entdeckt
Sicherheitsforscher von Noma Security haben eine kritische Schwachstelle in GitHub Agentic Workflows identifiziert. Sie ermöglicht es Angreifern, auf private Repositories zuzugreifen und deren Inhalte abzurufen – ohne dabei Credentials zu stehlen oder organisatorische Zugangsrechte zu benötigen.
Die Angriffsmethode
Das Angriffskonzept ist überraschend einfach: Ein Angreifer erstellt eine normale aussehende Issue in einem öffentlichen Repository. Das ist alles, was notwendig ist. Wenn die Zielorganisation ihrem Agent Lesezugriff über mehrere Repositories – inklusive privater – gewährt hat, kann dieser Agent durch geschickte Formulierungen in der öffentlichen Issue dazu gebracht werden, Inhalte aus den privaten Repositories zu offenbaren.
Die Attacke nutzt das Vertrauen, das Agents in strukturierte Workflows haben. Der Agent führt Befehle aus, die in der Issue-Beschreibung oder Kommentaren formuliert sind, ohne zu prüfen, ob die anfragende Person tatsächlich Zugriff auf diese Repositories haben sollte.
Warum das problematisch ist
GitHub Agentic Workflows sollen Entwicklerteams unterstützen, indem sie automatisierte Aufgaben übernehmen. Dafür erhalten sie Zugriff auf Repositories, was notwendig ist. Allerdings schafft diese breite Berechtigung eine Angriffsfläche: Die öffentlich lesbare Issue wird zum Vektor, über den ein Agent manipuliert werden kann.
Das Problem liegt nicht nur bei der Sicherheit des Agents selbst, sondern auch darin, wie leicht externe Input-Vektoren missbraucht werden können. Jeder, der eine Issue in einem öffentlichen Repo öffnen kann, kann potenziell mit dem Agent kommunizieren.
Implikationen für Organisationen
Diese Schwachstelle betrifft alle Organisationen, die GitHub Agentic Workflows verwenden und ihren Agents Zugriff auf mehrere Repositories – insbesondere mit unterschiedlichen Sicherheitsstufen – gewährt haben.
Die Forscher empfehlen:
- Least Privilege: Agents sollten nur auf Repositories zugreifen, die sie tatsächlich benötigen
- Monitoring: Ungewöhnliche Datenzugriffe sollten protokolliert und überwacht werden
- Input-Validierung: Workflows sollten externe Eingaben (Issues, PRs) kritisch prüfen
- Segmentierung: Private Repositories sollten nicht im gleichen Agent-Kontext wie öffentliche liegen
GitHub wird vermutlich mit Updates reagieren, um diesen Vektor zu schließen. Doch auch dann bleibt die grundsätzliche Lektion: Agent-basierte Systeme benötigen sorgfältigere Sicherheitsdesign als traditionelle APIs.
