PromptPwnd: injeksi prompt di GitHub Actions bersembunyi dalam teks masalah/PR/commit yang tidak tepercaya dan menggerakkan agen AI untuk mengeksfiltrasi secret CI

Rein Daelman dari Aikido Security mengungkapkan 'PromptPwnd', kelas kerentanan GitHub Actions baru di mana data yang tidak tepercaya (misalnya pesan commit atau isi masalah) digunakan di dalam prompt untuk agen AI di CI/CD. Karena runner mengekspos secret dan token yang dapat menulis, instruksi yang disuntikkan memungkinkan agen membocorkan GITHUB_TOKEN/kunci cloud/API atau melakukan tindakan GitHub yang memiliki hak istimewa. Daelman mendemonstrasikan kompromi rantai pasokan terhadap repositori Gemini CLI Google dengan mengeksfiltrasi API key Gemini dan token GitHub; Google menambal alur kerja Gemini CLI setelah pengungkapan Agustus.

Agen coding dan review AI kini menjadi aktor yang memiliki hak istimewa di CI. Ini mengubah pelacak masalah/PR publik repositori menjadi permukaan serangan jarak jauh yang dapat diam-diam melepaskan kredensial repositori dan penyedia, serta dapat dirangkai menjadi kompromi rantai pasokan konsumen hilir — tanpa CVE dan sering tanpa terdeteksi.

Input pengguna yang tidak tepercaya (isi masalah, deskripsi PR, pesan commit) disisipkan ke dalam prompt LLM di dalam alur kerja CI. Agen memperlakukan teks penyerang sebagai instruksi dan, karena berjalan dengan GITHUB_TOKEN alur kerja dan kredensial penyedia, dapat menggunakan alat bawaannya (misalnya gh issue edit) untuk membocorkan secret, memposting komentar publik yang berisi kredensial, atau memodifikasi alur kerja.

Alur kerja GitHub Actions / GitLab CI yang menjalankan agen AI dan menginterpolasi field github.event.* yang tidak tepercaya ke dalam prompt agen (Gemini CLI, Claude Code Actions, OpenAI Codex, GitHub AI Inference, dan tindakan agen serupa)

Jangan pernah menginterpolasi field github.event yang tidak tepercaya ke dalam string prompt (gunakan variabel lingkungan / input terstruktur sebagai gantinya); batasi alat yang dapat dipanggil agen; batasi GITHUB_TOKEN ke izin minimum; perlakukan output AI sebagai tidak tepercaya dan beri gerbang untuk tindakan yang memiliki hak istimewa. Pindai alur kerja dengan aturan Opengrep sumber terbuka Aikido atau yang setara.