무슨 일이 있었나
BeyondTrust Phantom Labs (Tyler Jespersen)는 GitHub 이슈에 대한 단 하나의 거의 보이지 않는 댓글이 GitHub Copilot 코딩 에이전트를 탈취할 수 있음을 보여주는 연구를 발표했다. 공격자의 페이로드는 Copilot이 이슈에 할당될 때 읽는 이슈 댓글에 내장된 보이지 않는 프롬프트 인젝션 문자열이다. 시연된 체인은 에이전트의 토큰을 훔치고, 에이전트 토큰과 저장소 및 조직의 에이전트 비밀 정보를 외부로 유출하며, 모든 Copilot 접두사가 붙은 브랜치를 오염시키고, copilot-setup-steps.yml이 광범위한 권한을 부여하는 경우 CI/CD 및 연결된 클라우드 계정으로 권한 상승한다. 보고서는 종단 간 개념 증명을 포함하며 GitHub에 공개되었다; 발표 시점(2026년 10월 21일)에는 문제가 패치되지 않았다.
왜 중요한가
Copilot은 가장 널리 배포된 AI 코딩 에이전트 중 하나이며 개발 수명주기 내에서 실제 저장소 권한으로 작동한다. 인간 검토자에게 무해해 보이는 댓글은 원격 공격자에게 비밀 정보와 CI/CD 접근 권한을 보유한 에이전트의 제어권을 부여한다 — AI 기반 개발 파이프라인에서 코드 및 클라우드 침해로 이어지는 낮은 마찰, 낮은 관찰 가능성의 프롬프트 인젝션 경로이다.
공격 경로
공격자는 Copilot 에이전트에 할당된 GitHub 이슈에 조작된/보이지 않는 댓글을 게시한다; 에이전트가 악성 지시문을 흡수하고, 악성 도구 호출을 실행하며, 토큰과 조직 비밀 정보를 외부로 유출한다.
영향받는 시스템
GitHub Copilot 코딩 에이전트 (이슈 할당 워크플로우), copilot-setup-steps.yml로 구성된 저장소
완화 방안
에이전트-이슈 권한 및 copilot-setup-steps.yml 범위를 감사하라; 에이전트의 토큰과 비밀 정보에 엄격한 제어 경계를 설정하라 (최소 권한, 단기 자격 증명, 광범위한 CI/CD 권한 없음); 이슈/댓글 텍스트를 에이전트에 대한 신뢰할 수 없는 입력으로 취급하라.