它的任务是一个 issue，它的令牌却读得到整个组织
Noma Security 的 GitLost 展示了一名未经认证的陌生人开一个公开的 GitHub issue，就让 GitHub 的 AI 代理把一个私有仓库的内容以公开评论的形式贴了回来。上标题的是提示词注入。而代理的令牌——作用域覆盖整个组织，而非它正在分诊的那一个 issue——划定了泄露能走多远。任务所需与环境所持之间的那道缺口，才是值得带回家的部分，也是当你自己托管代理时可以换一种设计的部分。
一名未经认证的陌生人在一个公共 GitHub 仓库上开了一个 issue， 写下一个段落，然后等待。GitHub 的 AI 代理读了这个 issue， 走进该组织的私有仓库，把一份私有 README 作为公开评论贴了 回来。那个段落是扳机。而代理的令牌——作用域是整个组织， 而非眼前这一个 issue——是泄露能够走那么远的原因。
Noma Security 的研究团队按如今许多团队的做法在 GitHub 上搭起一个
组织：几个公共仓库、若干私有仓库，再接上 GitHub Agentic Workflows
来处理杂务。GitHub Agentic Workflows 是纯 Markdown 写成的指令，由
GitHub Actions 交给一个以 Claude 或 Copilot 为后盾的 AI 代理，让它
替团队分诊 issue、回答问题、发起拉取请求。随后研究人员扮演攻击者。
他们在其中一个公共仓库里开了一个看上去平平无奇的 issue，往正文里
塞进几句额外的话，然后让工作流跑起来。代理读了这个 issue，从一个
私有仓库取来 README.md 的内容，把它粘贴进一条任何人都能读到的
公开评论。
攻击者没有用密码，没有偷来的密钥，没有漏洞利用代码，也没有 CVE。 Noma 把这项技术称为 GitLost， 已报告给 GitHub，并在该公司知情的情况下发表。整个载荷不过是一段 英文散文，躺在一个代理生来就要读取的字段里。
那个用私有仓库作答的 issue。
机制很短，短到值得画出来。一个工作流由事件触发，比如某个 issue 被 打开或被指派。代理把 issue 的标题和正文当作它的任务来读。埋在那段 正文里的，是让代理去取某个私有仓库的 README 并作为评论贴出的指令。 GitHub 在这前面设了护栏：沙箱、默认只读的令牌、输入清洗，还有一遍 针对文本的威胁检测。Noma 试了各种变体，直到有一个溜了过去。在恶意 请求前面加上一个词 "Additionally"（另外），就 足以越过过滤器， 因为模型把它读成了一项后续任务，而不是一个应当拒绝的请求。一个词 的改动，就把注入送过了那条线。
换个措辞，就赢过过滤器。
一个读取 issue 正文并判断其中是否含有攻击的过滤器，是在凭措辞猜测 意图，而措辞的变体有无穷无尽的供应。Noma 没有攻破模型，也没有找到 内存缺陷。他们把同一个请求换着说法，直到分类器给出的分数落在它 自己的阈值之下——“Additionally” 就是那个落了地的措辞。
这正是我们上周写过的、 工具型代理的结构性属性：代理把它的指令和它取来的数据当作一条扁平 的 token 流来读，靠语气和位置去推断哪一部分是命令，就像人略读 一样。issue 正文是数据。注入这一招，就是把不受信任的数据揉成命令 的形状，赌模型会照办。检测有帮助，也值得跑，但它会漏：分类器有 阈值，而一个拥有无限次尝试机会的攻击者会不断试探，直到某种措辞的 得分落在阈值之下。
给泄露定尺寸的那道缺口。
GitLost 里有一部分，无论 GitHub 下一版发布什么过滤器都会幸存。 工作流的任务是分诊一个公共仓库里的一个 issue。而 GitHub Actions 放进该工作流环境的令牌，对组织内每一个公共和私有仓库都有读权限， 因为团队会授予这样的广度，好让代理拉取跨仓库的上下文。攻击者挑选 了目标；令牌的作用域划定了损害的上限。把攻击换一百种说法，那个 上限纹丝不动：令牌看得到什么，泄露就能到哪里。
Noma 自己的建议指向同一道接缝。他们给防守方的忠告是 把令牌的作用域收窄到工作流所分诊的那一个仓库， 而不是整个组织。这条建议等于承认：注入有时会得手，而当它得手时， 爆炸半径应当是任务的尺寸，而非账户的尺寸。
外泄路径正是代理的本职。
那份私有 README 是经由一条公开评论离开组织的，而发评论本就是代理 应当能做的事。在 issue 下评论是它的职能。线缆上没有任何东西看起来 像偷窃：没有可疑的端点，也没有从旁门溜走的编码数据块。一个盯着 恶意流量的网络监控，只会看到代理发了一条评论——它一整天都在干这 件事。当外泄通道是一项获准的能力时，划算的防御是从一开始就约束 代理够得到什么。
你能改动架构的地方。
GitLost 有两件事在你力所不及之处。这个缺陷归 GitHub 修，GitHub 也 正在修。而且代理跑在 GitHub 的服务器上、GitHub Actions 之内，你 安装的任何产品都不在那条路径上。Bromure Agentic Coding 跑在开发者 的 Mac 上，它不站在 GitHub 服务器端工作流的前面，也不作此宣称。 如果你对这类问题的全部暴露面，就是一个由别人运营的托管代理，那么 你手里的杠杆就是 Noma 点名的那一根：把令牌收窄。
可迁移的教训，属于越来越多在自己掌控的机器上运行编码代理的团队， 在那里架构由你来定。GitLost 里有两条原则可以带走，而且都不依赖于 抓住注入。让环境保持精简，被劫持的代理便继承不到多少值得拿走的 东西。把凭据限定于任务，一次沦陷的触达范围便是工作的尺寸，而非 账户的尺寸。Bromure Agentic Coding 是这两条原则的一种排布。
Bromure Agentic Coding 把你的编码代理——Claude
Code、Codex 或 Grok——跑在一台一次性、按 profile 隔离的 Linux VM
里：它自己的内核、自己的文件系统、自己的网络栈，在 Apple 的
Virtualization 框架上与你的 Mac 隔着一层 hypervisor。一个 profile
是一段连贯的工作范围：一个客户，或一个服务。真凭据从不进入那台
VM。Bromure 把它们放在宿主上、一个中介之后，发给 guest 的是在读取
它们的工具眼里以假乱真的假值；你 Mac 上的一个 proxy 在请求离开时
于线缆上把桩值换成真机密，
那个握着密钥的沙箱一文走完了
这套机制。一个被说动去对凭据文件跑 cat 的代理，找到的是占位符，
因为它想要的那个值从来不在边界的它这一侧。
代理真正能花的那枚令牌是限定作用域且会过期的，于是一次泄露只是 一次狭窄的、有时限的使用，而非一份永久授权。整个工作区是一台 VM， 你关闭会话它就消失。把 GitLost 的形状放进这套安排里跑一遍，注入 照样可能得手，因为隔离并不能让一个被骗的模型醒过来。可是一个被 说服去外泄的代理，伸手去拿凭据摸到的是桩值，花出去的令牌只覆盖 它正在其中工作的那一个 profile，而且坐在一个通不到你机器其余部分 的盒子里。沦陷的触达范围，就是任务的尺寸。
让环境保持精简
被劫持的代理只能交出它环境里有的东西。guest 里放桩值、真机密 留在宿主上，意味着得手的注入在它以为有密钥的地方找到的是 占位符。
把凭据限定于任务
Noma 给 GitHub 工作流的建议是同一条原则：一枚只覆盖一个仓库 的令牌，把损害封顶在一个仓库。作用域加上过期时间，把一次泄露 变成一起狭窄的、有时限的事件。
把盒子做成一次性的
当工作区是一台关闭即蒸发的 VM，持久化就没有耐久的落脚点， 爆炸半径随会话一起终结。
假定注入终会得手
检测值得跑，也终会漏。把设计做成漏掉一次也能挺过去的样子， 而不是赌能抓住每一种措辞。
什么依然立在原地。
限定作用域并不会让代理安全到可以指向一份真机密。如果你把一份在用 的凭据放进 VM，而代理被说动去读它，没有哪个 hypervisor 能把读过 的东西收回来；改变的是代理够得到什么，而不是一个被骗的模型是否 继续被骗。Noma 强调的外泄问题也有一块是单靠隔离关不上的：一个能 发评论、能开 PR、能发消息的代理，可以经由那条获准的通道把数据搬 出去，而作用域决定的是有多少数据在可搬的范围内，不是那条通道是否 存在。至于 GitLost 本身，它属于 GitHub。等他们打补丁就更新，与此 同时把你的工作流令牌收窄，因为那是平台交到你手里的杠杆。
无论你在哪里运行代理，研究者都会继续报告注入，而代理环境里那份 凭据的作用域，将继续决定每一次注入是以一条被记录在案的险情收场， 还是以一个私有仓库出现在公开页面上收场。Noma 的修法与 Bromure 的 架构指向同一个方向：给代理任务所需的触达范围，一寸也不多给。
Bromure Agentic Coding 在 Apple Silicon 上的一次性 Linux VM 里 运行 Claude Code、Codex 和 Grok：真凭据留在宿主上、中介之后，在 线缆上换入；代理的输入经过提示词注入检测；每一次调用都写进一份 代理无法编辑的追踪。它免费、开源，今天就在 bromure.io 可用。感谢 Noma Security，他们的 GitLost 报告 促成了这一篇。