Apa yang terjadi
BeyondTrust Phantom Labs (Tyler Jespersen) menerbitkan penelitian yang menunjukkan bahwa satu komentar yang hampir tidak terlihat pada issue GitHub dapat membajak agen coding GitHub Copilot. Payload penyerang adalah string injeksi prompt tak terlihat yang tertanam dalam komentar issue yang dibaca Copilot ketika ditugaskan pada issue tersebut. Rantai yang didemonstrasikan mencuri token agen, mengeksfiltrasi token agen plus rahasia agen repositori dan organisasi, meracuni setiap branch berprefiks Copilot, dan — di mana copilot-setup-steps.yml memberikan izin luas — meningkatkan ke CI/CD dan akun cloud yang terhubung. Laporan ini mencakup proof of concept end-to-end dan diungkapkan ke GitHub; masalah tersebut masih belum ditambal saat publikasi (21 Okt 2026).
Mengapa penting
Copilot adalah salah satu agen coding AI yang paling banyak digunakan dan beroperasi dengan izin repositori nyata dalam siklus hidup pengembangan. Komentar yang tampak tidak berbahaya bagi peninjau manusia memberi penyerang jarak jauh kendali atas agen, yang memegang rahasia dan akses CI/CD — jalur injeksi prompt dengan hambatan rendah dan pengamat rendah menuju kompromi kode dan cloud dalam pipeline dev yang digerakkan AI.
Vektor serangan
Penyerang memposting komentar yang dibuat/tak terlihat pada issue GitHub yang ditugaskan ke agen Copilot; agen menelan instruksi jahat, menjalankan panggilan alat jahat, dan mengeksfiltrasi token dan rahasia organisasinya.
Sistem yang terdampak
Agen coding GitHub Copilot (workflow penugasan issue), repo yang dikonfigurasi copilot-setup-steps.yml
Mitigasi
Audit izin agen-issue dan cakupan copilot-setup-steps.yml; tempatkan batas kontrol keras pada token dan rahasia agen (least-privilege, kredensial berumur pendek, tanpa izin CI/CD luas); perlakukan teks issue/komentar sebagai input tidak tepercaya ke agen.