Prompt Injection in GitHub Agentic Workflows
Sicherheitsforscher haben eine kritische Schwachstelle in GitHub Agentic Workflows identifiziert, die es Angreifern ermöglicht, KI-gesteuerte Prozesse zu manipulieren und auf sensible Daten zuzugreifen.
Das Angriffszenario
Die Attacke funktioniert überraschend simpel: Ein Angreifer erstellt einen öffentlich einsehbaren GitHub Issue mit speziell formuliertem Text. Dieser Text ist so gestaltet, dass er die KI-gesteuerten Workflows in die Irre führt — ein klassischer Prompt Injection-Angriff. Wenn ein Agentic Workflow diesen Issue verarbeitet, wird die KI dazu verleitet, Befehle auszuführen, die nicht beabsichtigt waren.
Das kritische Problem: Diese Workflows haben oft Zugriff auf private Repositories und deren Inhalte. Durch die Prompt Injection können Angreifer den Workflow dazu bringen, sensible Daten wie Code, Secrets oder Konfigurationsdaten aus privaten Repos auszulesen — ohne sich authentifizieren zu müssen.
Warum das so problematisch ist
Agentic Workflows automatisieren komplexe Aufgaben. Sie durchsuchen Issues, lesen Kontexte und führen Aktionen basierend auf ihrem Verständnis aus. Aber genau hier liegt die Verwundbarkeit: Das "Verständnis" der KI kann durch sorgfältig formulierte Prompts manipuliert werden.
Das Besondere an dieser Sicherheitslücke ist die Kombination aus zwei Elementen:
- Öffentliche Angriffsfläche: Der Issue ist öffentlich zugänglich — jeder kann ihn erstellen.
- Privilegierte Ausführung: Der Workflow läuft mit Berechtigungen, die Zugriff auf private Daten haben.
Dies schafft eine direkte Brücke vom öffentlichen Internet zu privaten Repositorien.
Was die Angreifer erreichen können
Durch geschickt formulierte Prompts könnten Angreifer:
- Geheime Umgebungsvariablen und API-Keys auslesen
- Inhalte aus privaten Repositories extrahieren
- Den Workflow dazu bringen, beliebige Befehle auszuführen
- Unbefugten Zugriff auf geschützte Ressourcen erlangen
Implikationen für Entwicklerteams
Diese Schwachstelle hat weitreichende Konsequenzen. Teams, die GitHub Agentic Workflows für CI/CD oder Automation nutzen, müssen ihre Sicherheitsmaßnahmen überdenken. Prompt Injection ist nicht nur ein theoretisches Problem — es ist eine praktische Bedrohung für automatisierte Systeme.
Die Situation wird dadurch verschärft, dass KI-Modelle anfälliger für solche Attacken sind als traditionelle Software. Sie folgen vermeintlichen "Befehlen" in natürlicher Sprache, ohne die ursprüngliche Absicht zu validieren.
Was Nutzer tun sollten
GitHub-Nutzer sollten ihre Agentic Workflows überprüfen und die Prinzipien der Least Privilege anwenden: Workflows erhalten nur die Berechtigungen, die sie wirklich benötigen. Zusätzlich sollte der Input von externen Quellen streng validiert werden, bevor die KI ihn verarbeitet.
Es ist ein weiterer Beleg dafür, dass AI-powered Automation nicht ohne durchdachte Sicherheitsarchitektur funktioniert.