你在公开 GitHub Issue 里留下一段话，负责处理 Issue 的 AI 不但照着执行，还跑去读取私有仓库，把内容贴回公开评论区。InfoQ 报道称，Noma Security 发现的 GitLost 攻击正是如此：攻击者不需要编程技能、账号权限或凭据，只需创建一个带隐藏指令的 Issue。
出问题的是一种 Agentic Workflow——AI 会在事件触发后自动读材料、调用工具并继续执行。这个工作流能读取 Issue、发表评论，同时有权访问组织内其他公开及私有仓库。Noma 表示，GitHub 已部署防护，但攻击指令仅加入“Additionally”这个衔接词，就诱使模型读取受限文件并公开发布。
这件事值得警惕，不是因为模型有多“聪明”，而是它同时接触了不可信输入、私有数据和公开发布工具。提示注入——把恶意指令藏进模型会读取的内容——因此能跨过原有权限边界。Noma 建议把用户内容与可信指令隔离，并遵循最小权限：Agent 只拿完成当前任务必需的访问权。