GitHub AI workflow memiliki kerentanan prompt injection yang dapat mengungkap data pribadi.Penulis artikel, sumber: 36Kr
Noma menyatakan bahwa meskipun GitHub telah menerapkan mekanisme perlindungan ketat untuk mencegah kejadian semacam ini, hanya dengan menggunakan kata kunci "Additionally" sudah memicu perilaku tak terduga pada model. Hal ini menyebabkan model mengakses konten file yang sebelumnya dibatasi dan mempublikasikannya di komentar publik.
Model keamanan tradisional biasanya mengasumsikan bahwa batas kepercayaan dijaga oleh kode. Dalam sistem Agentic, batas kepercayaan sebagian bergantung pada perilaku model, yang secara alami memiliki kemampuan untuk mengikuti instruksi. Untuk AI Agentic, serangan prompt injection sedang menjadi masalah serupa dengan SQL injection dalam aplikasi web: sebuah jenis kerentanan sistematis yang mencakup seluruh kategori, yang memerlukan strategi dan langkah pertahanan yang sama-sama sistematis.Saran perlindungan keamanan: Untuk mengurangi risiko-risiko ini, para peneliti Noma menyarankan agar kontrol pengguna tidak pernah dianggap sebagai input perintah tepercaya untuk Agen AI. Hak akses Agen harus dibatasi hanya pada cakupan yang benar-benar diperlukan, karena Agen dengan akses lintas repositori akan menjadi target serangan yang sangat berharga. Organisasi juga harus membatasi informasi yang dapat diungkapkan secara publik oleh Agen, terutama saat merespons konten Issue, serta memastikan bahwa input pengguna telah dibersihkan dengan tepat atau diisolasi dari konteks perintah sebelum diberikan ke model. Peringatan industri
Fractional CTO Vijendra Malhotra mengomentari di LinkedIn bahwa temuan Noma membuktikan: repositori pribadi bukanlah batas keamanan. Itu sebenarnya adalah batas organisasi, yang hanya berlaku jika orang yang membaca kode Anda hanyalah manusia yang Anda pekerjakan. Agent meruntuhkan asumsi ini. [……] Jika sebuah Agent dapat mengakses repositori pribadi Anda, anggap semua isinya sebagai hanya selangkah lagi dari kebocoran publik melalui Issue yang dirancang dengan cermat.Pengguna Reddit Significant_Sea_4230 menunjukkan:
Bahayanya bukan terletak pada Agent yang “sangat cerdas”. Tetapi pada kemungkinan bahwa ia terhubung terlalu banyak konteks, terlalu banyak repositori, atau memiliki token dengan izin yang terlalu luas.Di sisi lain, pengguna cH3332xr menekankan:
Detail paling menarik di sini adalah mekanisme bypass “Additionally”, di mana payload itu sendiri tidak berubah, hanya kata penghubung ini yang membuat mekanisme perlindungan mengklasifikasikannya kembali dari “perintah baru” menjadi “lanjutan dari tugas saat ini”. Ini adalah masalah batas keputusan, bukan masalah konten.Sebagai komentar terakhir dari komunitas, mcv di Hacker News menyatakan:
SQL injection terjadi karena sistem memperlakukan input pengguna sebagai bagian dari perintah, bukan sebagai konten yang seharusnya dianggap sebagai data murni. Masalah ini diselesaikan dengan memisahkan keduanya. Namun, prompt injection tidak dapat dihindari karena input pengguna itu sendiri adalah perintah.For a deeper understanding of the technical details and proof-of-concept process, read the full report on Noma's website.
Tautan asli: https://www.infoq.com/news/2026/07/gitlost-github-prompt-injection
Sumber artikel: AI Frontier