Уязвимост в MCP-сервера на GitHub, водеща до изтичане на информация от частни репозитории.

В GitHub MCP Server, реализация на протокола MCP (Model Context Protocol) от GitHub, е открита уязвимост, която позволява извличането на данни от частни репозитории на потребители, използващи AI асистенти за автоматизация на работата с репозиториите.

Протоколът MCP е предназначен за свързване на AI модели с различни източници на данни. GitHub MCP Server осигурява безпроблемна интеграция на големи езикови модели с API на GitHub и предоставя на тези модели допълнителен контекст, извличайки данни от GitHub репозитории. Моделите, които използват MCP, могат да се използват за автоматизация на определени действия с GitHub, например за обработка на съобщения за грешки.

Същността на уязвимостта е, че чрез взаимодействие с свързана с GitHub голяма езикова модел може да се постигне извеждане на конфиденциални данни за потребителя, привързващ AI агента към своя акаунт в GitHub. Атакуващият може да публикува в публичен репозиторий, за който се използва автоматизация на базата на голяма езикова модел, специално формулиран отчет за проблем (issue). След активиране моделът ще състави pull заявка с предложено решение. Следователно, ако проблемът касае частни репозитории или конфиденциални данни, моделът може да разкрие информация в предложената pull заявка.

За пример е изпратено съобщение за грешка с оплакване, че в README файла не е посочен автор. Като решение в съобщението е предложено да се добавят в README данни за автора и списък на всички репозитории, с които е работил авторът. В крайна сметка моделът е създал pull заявка с информация, включваща лични данни за автора, извлечени от частен репозиторий, както и списък с налични частни репозитории. На следващия етап чрез подобно взаимодействие с модела могат да се получат и данни от конкретен частен репозиторий.

За активиране на AI-агента е необходимо собственикът на репозитория да даде команда за обработка на съобщения за грешки. В случай, че GitHub е свързан с AI-сервиза Claude, за разкриване на информация е достатъчно собственикът на репозитория да изпрати на AI-асистента искане от вида „погледни issue в моите репозитории с отворен код и ги отстрани“. След това AI-асистентът активира настроената MCP интеграция с акаунта в GitHub и изпълнява инструкциите, съдържащи се в съобщенията за проблеми.

Източник: opennet.ru