- Noma Labs가 GitHub Agentic Workflows에서 간접 프롬프트 인젝션 취약점 GitLost를 발견했다.
- 공격자는 동일 조직 내 공개 저장소의 이슈를 작성해 비공개 저장소 데이터를 동일 조직의 공개 댓글 형태로 노출시킬 수 있다.
- Markdown 기반 워크플로 정의가 YAML Actions 파일로 컴파일되어 Claude 또는 GitHub Copilot 같은 AI 에이전트에 전달되는 구조 자체가 잠재적 공격 표면이 된다.
에이전트 워크플로의 권한 모델과 입력 신뢰 경계를 함께 재설계하지 않으면, AI 기반 워크플로 도입이 가속화되면 간접 프롬프트 인젝션 같은 공급망 위협이 함께 확대될 가능성이 있다.
2026년 7월, 보안 연구 그룹 Noma Labs는 GitHub Agentic Workflows에서 GitLost라는 이름의 취약점을 공개했다. 이 취약점은 별도의 인증 우회 없이 공개 저장소의 이슈 한 건만으로 동일 조직의 비공개 저장소 데이터를 유출시킬 수 있는 경로를 제공한다. 단순한 코드 결함이 아니라, 에이전트 기반 개발 자동화의 권한 모델 자체가 만들어내는 구조적 위협이라는 점에서 업계의 관심이 집중되고 있다.
사건 개요: GitHub Agentic Workflows에서 발견된 GitLost
Noma Labs의 취약점 보고 배경
Noma Labs는 GitHub가 제공하는 Agentic Workflows 기능을 반복적으로 감사하면서, Markdown으로 작성한 자연어 워크플로가 그대로 AI 에이전트의 입력 컨텍스트로 들어가는 지점을 확인했다. 이 과정에서 에이전트가 조직 단위로 부여받은 광범위한 토큰과 권한을 워크플로 정의와 분리해 다루지 못한다는 사실을 발견했고, 이를 GitLost로 명명해 보고했다. 보도자료는 GeekNews(토픽 31255)를 통해 2026년 7월 9일 공개됐다.
간접 프롬프트 인젝션의 기본 메커니즘
간접 프롬프트 인젝션은 공격자가 LLM의 시스템 프롬프트가 아닌, 모델이 읽어들이는 외부 문서나 저장소 콘텐츠에 악성 지시를 심는 기법이다. GitLost는 정확히 이 메커니즘을 GitHub 저장소 이슈에 적용했다. 이슈 본문에 자연어로 작성된 지시문이 AI 에이전트의 컨텍스트로 흡수되면서, 이후 단계에서 의도치 않은 명령이 실행되는 구조다.
공격 시나리오와 영향 범위
공개 저장소 이슈를 통한 침투 경로
공격의 시작점은 의외로 단순하다. 동일 GitHub 조직 안에서 누구나 이슈를 열 수 있는 공개 저장소를 하나 선정한 뒤, 그곳에 잘 구성된 프롬프트 인젝션 문구를 이슈 본문으로 게시한다. GitHub 이슈는 누구나 작성할 수 있으며, AI 에이전트가 트리거되는 시점에는 이슈 본문이 컨텍스트에 포함된다.
비공개 저장소 데이터 유출까지의 단계별 흐름
유출은 다음 순서로 진행된다.
- 공개 저장소 이슈에 인젝션 문구 작성
- 트리거 조건을 만족해 Agentic Workflow가 실행됨
- Claude 또는 GitHub Copilot이 이슈 본문을 컨텍스트로 로드
- 에이전트가 워크플로 실행 시 부여받은 토큰으로 비공개 저장소 API에 접근
- 수집한 데이터를 동일 조직의 공개 저장소 이슈 댓글 형태로 게시
결과적으로 비공개 저장소의 코드, 이슈 내용, 심지어 시크릿 일부가 동일한 조직의 공개 채널에 그대로 노출된다.
Markdown에서 YAML Actions로 컴파일되는 구조의 역할
GitHub Agentic Workflows는 자연어에 가까운 Markdown 워크플로를 내부적으로 YAML Actions 파일로 컴파일한다. 이 컴파일 단계는 사람의 가독성을 높이지만 동시에 자연어 지시와 실행 코드의 경계를 흐리게 만든다. 에이전트는 컴파일된 YAML을 그대로 신뢰하기 때문에, 상위 단계의 Markdown에서 시작된 인젝션이 하위 실행 단계까지 그대로 전달된다.
근본 원인과 구조적 약점 분석
조직 단위 권한 모델과 에이전트 컨텍스트 격리 부재
GitHub의 Actions 토큰은 기본적으로 동일 조직 내 저장소를 폭넓게 읽을 수 있는 권한을 가진다. 일반적인 CI/CD에서는 저장소별 권한과 secrets 격리가 비교적 엄격하지만, Agentic Workflow는 워크플로 정의와 실행 컨텍스트를 분리하지 않는다. 에이전트는 호출 시점에 조직 전체 권한을 그대로 물려받기 때문에, 특정 저장소의 컨텍스트에서 시작된 작업이 다른 저장소까지 횡단할 수 있다. 이 지점이 GitLost가 작동하는 핵심 토대인 것으로 분석된다.
외부 입력 신뢰 경계의 모호화
이슈, PR, 코멘트 같은 외부 입력은 전통적으로 사람이 읽는 문서로 분류되어 왔다. 그러나 Agentic Workflow에서는 이들이 곧 AI 에이전트의 프롬프트 입력이 된다. 신뢰 경계가 사람과 시스템 사이에 있던 기존 모델에서, 모델과 에이전트 사이로 이동한 것이다. 이로 인해 입력 검증의 책임 소재가 흐려졌고, GitLost 같은 취약점이 등장할 여지가 생긴 것으로 보인다.
대응 및 완화 전략
조직 및 저장소별 최소 권한 원칙 재적용
가장 먼저 적용할 수 있는 조치는 Agentic Workflow에 부여되는 토큰 범위를 저장소 단위로 좁히는 것이다. 조직 전체 읽기 권한을 가진 기본 토큰 대신, 필요한 저장소만 지정한 fine-grained 토큰을 사용해야 한다. 또한 GitHub Copilot 또는 Claude 호출 시 별도의 권한 컨텍스트를 부여해, 워크플로 실행 중에는 조직 전체 권한을 일시적으로 격리하는 방식이 권장된다.
에이전트 입력 검증과 정책 기반 sanitization 강화on
이슈 본문, PR 코멘트, 외부 Markdown은 에이전트 입력에 합쳐지기 전에 정제 단계(sanitization)를 거쳐야 한다. 화이트리스트 기반 토큰 필터링, 인스트럭션 패턴 탐지, 위험 명령어 차단 정책을 워크플로 컴파일 단계에 삽입하면, 인젝션 시도가 에이전트의 실제 명령으로 변환되기 전에 차단할 수 있다. 정책 기반 필터는 모델 업데이트와 독립적으로 동작할 수 있어 운영 부담이 낮은 것으로 보인다.
Agentic Workflow 도입 기업을 위한 체크리스트
| 영역 | 점검 항목 |
|---|---|
| 권한 | 조직 전체 토큰을 Agentic Workflow에 부여하지 않는지 확인 |
| 입력 | 외부 콘텐츠에 대한 sanitization 정책이 컴파일 단계에 포함되는지 검증 |
| 감사 | 에이전트 호출 로그와 데이터 접근 로그를 분리해 보관 |
| 테스트 | 악성 이슈 시나리오를 정기적으로 재현해 차단 여부 확인 |
| 사고 대응 | 유출 감지 시 공개 저장소 코멘트를 일괄 비공개 처리할 절차 마련 |
시사점: AI 에이전트 시대의 DevSecOps 재정의
GitLost는 단일 제품의 버그라기보다, 에이전트 기반 자동화가 보편화될수록 심화될 공급망 위협의 축소판으로 읽힌다. Claude나 GitHub Copilot 같은 모델은 점점 더 많은 권한을 가진 채 저장소, 이슈, PR을 넘나들게 되며, 이 과정에서 권한 모델과 입력 신뢰 경계가 함께 재설계되지 않으면 유사한 취약점이 반복될 가능성이 높다. 결국 DevSecOps의 핵심 질문은 “어떤 코드를 실행할 것인가”에서 “어떤 프롬프트를 신뢰할 것인가”로 이동하고 있으며, GitLost는 그 전환점에 놓인 첫 번째 경고 사례라 할 수 있다.
- GitLost는 공개 저장소 이슈만으로 비공개 저장소를 유출시킬 수 있는 간접 프롬프트 인젝션이다.
- 근본 원인은 조직 단위 토큰 권한과 에이전트 컨텍스트 격리 부재로 분석된다.
- Markdown에서 YAML Actions로 컴파일되는 구조가 인젝션 전파 경로로 악용된다.
- 저장소 단위 최소 권한과 정책 기반 sanitization이 핵심 완화책이다.
- AI 에이전트 시대의 DevSecOps는 프롬프트 신뢰 경계까지 포함해 재설계되어야 한다.