A Noma Labs revelou em 6 de julho de 2026 uma vulnerabilidade grave nos GitHub Agentic Workflows, permitindo que qualquer usuário extraia dados privados de repositórios via prompt injection. O ataque, batizado de GitLost, expõe riscos estruturais na integração de agentes de IA a fluxos automatizados de desenvolvimento, especialmente quando instruções de usuários são interpretadas sem isolamento adequado.
Como a vulnerabilidade foi explorada
O GitHub Agentic Workflows, lançado recentemente, permite automatizar tarefas em repositórios por meio de comandos em linguagem natural. O sistema utiliza um agente de IA (baseado em Claude ou GitHub Copilot) com permissões configuráveis para ler issues, chamar ferramentas e acessar outros repositórios da organização.
A Noma Labs demonstrou que, ao criar uma issue pública em um repositório de uma organização que utiliza Agentic Workflows, qualquer usuário conseguia injetar instruções ocultas no corpo da issue. O agente, ao ler o conteúdo para executar ações automatizadas, seguia essas instruções—mesmo quando envolviam buscar dados de repositórios privados e postar essa informação publicamente.
No caso documentado, bastou abrir uma issue aparentemente legítima. Quando a automação do GitHub atribuía a issue a alguém, a workflow era disparada. O agente buscava o conteúdo de arquivos README.md tanto de repositórios públicos quanto privados e publicava como comentário aberto. O ataque não exigia conhecimento técnico avançado nem credenciais.
Detalhes técnicos e bypass dos guardrails
Apesar de existirem guardrails no agente para evitar esse tipo de vazamento, eles falharam diante de variações simples no texto. Ao adicionar a palavra “Additionally” no prompt, o modelo de IA passava a reinterpretar as instruções, contornando as proteções e executando comandos sensíveis sem bloqueio. O resultado foi a exposição do conteúdo de arquivos privados em comentários públicos.
A prova de conceito está documentada em workflow run e issue pública, ambos confirmando o vazamento do conteúdo de README.md do repositório privado sasinomalabs/testlocal.
Implicações para IA e segurança em workflows
O caso GitLost reforça que, em sistemas agentic, a janela de contexto do modelo se torna também sua superfície de ataque. Qualquer conteúdo lido—issues, pull requests, comentários—pode ser explorado se o agente não diferencia claramente entre instrução confiável e entrada de usuário. O ataque se assemelha à clássica SQL injection, mas adaptado ao universo de IA: uma falha sistêmica que exige contramedidas estruturais.
A recomendação da Noma Labs é clara: nunca tratar conteúdo controlado por usuários como instrução confiável para agentes de IA, além de limitar permissões ao mínimo necessário. O caso alerta para o risco de conceder acesso cross-repository sem controles granulares.
Por que importa
A adoção de agentes de IA em fluxos de trabalho de desenvolvimento está acelerando, inclusive no Brasil. Vulnerabilidades desse tipo podem comprometer segredos, propriedade intelectual e dados sensíveis de empresas que confiam em automações. O caso GitLost mostra que modelos de IA, por mais avançados, ainda carecem de mecanismos robustos para isolar comandos legítimos de manipulações maliciosas. Organizações devem revisar imediatamente permissões e fluxos envolvendo agentes autônomos, sob risco de exposição silenciosa de ativos críticos.