เครื่องมือนักพัฒนา
GitLost: หลอกเอเจนต์ AI ของ GitHub ให้แอบดึงโค้ด private repo มาโพสต์ให้คนทั้งโลกอ่าน — แค่เปิด issue ใบเดียว
นักวิจัยจาก Noma Security เปิดเผยช่องโหว่ 'GitLost' — ผู้โจมตีเพียงเปิด GitHub issue ใน public repo ขององค์กร แล้วซ่อนคำสั่งเป็นภาษาอังกฤษธรรมดา ก็หลอกเอเจนต์ใน GitHub Agentic Workflows ให้ดึงเนื้อหาจาก private repo มาโพสต์เป็นคอมเมนต์สาธารณะได้ ไม่ต้องมี credential หรือสิทธิ์ใด ๆ เลย
· อ่าน 6 นาที