Im GitHub MCP Server, der Implementierung des MCP (Model Context Protocol) von GitHub, wurde eine Schwachstelle entdeckt, die es ermöglicht, Daten aus privaten Repositories von Nutzern auszulesen, die KI-Assistenzsysteme zur Automatisierung der Arbeit mit Repositories verwenden.
Das MCP-Protokoll dient der Verbindung von KI-Modellen mit verschiedenen Datenquellen. Der GitHub MCP Server ermöglicht die nahtlose Integration großer Sprachmodelle mit der GitHub-API und bietet diesen Modellen zusätzlichen Kontext, indem er Daten aus GitHub-Repositories extrahiert. Mit MCP verwendete Modelle können zur Automatisierung bestimmter Aufgaben auf GitHub eingesetzt werden, beispielsweise zur Analyse von Fehlermeldungen.
Die Schwachstelle besteht darin, dass durch die Interaktion mit einem großen Sprachmodell, das mit GitHub verbunden ist, sensible Benutzerdaten desjenigen, der den KI-Agenten mit seinem GitHub-Konto verknüpft hat, offengelegt werden können. Ein Angreifer kann in einem öffentlichen Repository, für das eine Automatisierung auf der Grundlage eines großen Sprachmodells angewendet wird, ein speziell gestaltetes Problem (issue) platzieren. Nach der Aktivierung wird das Modell einen Pull-Request mit einer vorgeschlagenen Lösung erstellen. Dementsprechend kann das Modell, wenn das Problem private Repositories oder vertrauliche Daten betrifft, Informationen im vorgeschlagenen Pull-Request offenlegen.
Zum Beispiel wurde eine Fehlermeldung gesendet mit der Beschwerde, dass der Autor in der README-Datei nicht angegeben ist. Als Lösung wurde vorgeschlagen, Informationen über den Autor sowie eine Liste aller Repositories, mit denen der Autor gearbeitet hat, in die README aufzunehmen. Infolgedessen erstellte das Modell einen Pull-Request mit Informationen, die persönliche Daten des Autors aus einem privaten Repository enthielten, sowie einer Liste vorhandener privater Repositories. In der nächsten Phase kann man durch eine ähnliche Interaktion mit dem Modell auch Daten aus einem bestimmten privaten Repository erhalten.
Um den AI-Agenten zu aktivieren, muss der Besitzer des Repositories den Auftrag zur Analyse der Fehlermeldungen erteilen. Falls GitHub mit dem AI-Dienst Claude verbunden ist, genügt es, dass der Besitzer des Repositories dem AI-Assistenten eine Anfrage wie "Schau dir die Issues in meinen Open-Source-Repositories an und behebe sie" sendet. Der AI-Assistent verwendet dann die konfigurierte MCP-Integration mit dem GitHub-Konto und führt die in den Fehlermeldungen enthaltenen Anweisungen aus.
Quelle: opennet.ru
