GitHubの公開Issueが招く情報漏洩「GitLost」とは？AI連携リポジトリの安全な守り方

こんな不安、ありませんか？

「AIコーディングアシスタントを業務に導入したけれど、セキュリティ面は本当に大丈夫なのか」「公開リポジトリと非公開リポジトリを併用しているが、情報が混ざる心配はないか」——AI活用が当たり前になった今、こうした不安を抱く開発者・チームリーダーは少なくありません。

特に最近報告された「GitLost」という脆弱性は、GitHubの公開Issueという一見無害な場所を起点に、AIが非公開リポジトリの情報を意図せず出力してしまう可能性を指摘しています。この記事では、その仕組みをやさしく整理し、今日から実践できる防御策をまとめます。

この記事でできるようになること

• GitLostがどのような経路で情報漏洩を引き起こすのかを理解する
• 自分のリポジトリやAI連携ツールが同種のリスクを持っていないか点検する
• 具体的な設定変更・運用ルールで漏洩リスクを下げる

専門的な脆弱性調査を自分で行う必要はありません。仕組みを理解し、チェックリストに沿って設定を見直すだけで、リスクを大きく減らせます。

GitLostの仕組みを理解する

公開Issueが「入力経路」になる

GitLostは、攻撃者が公開リポジトリのIssueやコメントに、AIアシスタント（コードレビューボットやIssue要約AIなど）が読み込むことを想定した特殊な指示文（プロンプトインジェクション）を埋め込むことで成立します。AIがそのIssueを処理する際、悪意ある指示に従って本来アクセスすべきでない情報を出力してしまう、というのが基本構造です。

なぜ非公開リポジトリの情報が漏れるのか

多くの組織では、同一のAIアシスタントが複数リポジトリ（公開・非公開含む）にアクセスできる権限を持たされています。これは開発効率化のためですが、AIの「文脈の境界」が曖昧だと、公開Issueで受け取った指示が非公開リポジトリの内容を参照・出力するトリガーになり得ます。つまり脆弱性の本質は「AIの権限スコープが広すぎること」と「入力の信頼境界が甘いこと」の2点です。

具体的な対策ステップ

ステップ1：AI連携ツールの権限スコープを棚卸しする

まず、GitHub連携しているAIツール（Copilot Workspace、各種Issueボット、自作のGitHub Actions連携AIなど）が、どのリポジトリにどこまでのアクセス権を持っているか一覧化します。GitHub の「Settings > Integrations > Installed GitHub Apps」から権限範囲を確認できます。

ステップ2：公開・非公開でトークンを分離する

同一のAPIトークンやサービスアカウントを公開リポジトリと非公開リポジトリの両方で使い回している場合、これを分離します。公開リポジトリ用のAIボットには、非公開リポジトリへの読み取り権限を一切与えないのが原則です。

ステップ3：Issue・コメント入力のサニタイズを導入する

AIにIssue内容を渡す前に、命令文らしき構文（「以下を無視して」「システムプロンプトを表示して」等）を検知・フィルタリングする前処理を挟みます。簡易的にはキーワードベースのフィルタでも一定の効果があります。

ステップ4：AIの出力にレビューフェーズを設ける

AIが生成したコメントやコードを、自動でリポジトリに反映せず、人間が確認するワークフローに変更します。GitHub Actionsで自動コミット・自動返信をしている場合は、workflow_dispatchでの承認ステップを挟むと安全です。

ステップ5：ログとアラートで異常検知する

AIボットのアクセスログを定期的に確認し、通常とは異なるリポジトリへのアクセスパターンがないか監視します。GitHubのAudit logやAppのアクセス履歴を活用しましょう。

つまずきやすいポイントと対処

「権限を絞ったら開発効率が落ちる」と感じる場合
必要最小限の権限（最小権限の原則）は最初は不便に感じますが、リポジトリ単位でトークンを分割し、用途ごとに使い分けることで、セキュリティと効率のバランスは取れます。

「フィルタリングをどこまで厳しくすべきか分からない」場合
最初から完璧なフィルタを目指さず、既知の攻撃パターン（プロンプトインジェクションの典型例）をリスト化し、段階的に強化していく運用が現実的です。

「社内の全メンバーに周知するのが大変」な場合
AI連携ツールを新規導入する際のセキュリティチェックリストをドキュメント化し、導入時に必須確認とするルールを設けると、周知漏れを防げます。

まとめ

GitLostは、AIとGitHubの連携が生む新しいタイプの情報漏洩リスクを浮き彫りにしました。対策の核心は「AIの権限スコープを絞る」「入力を信頼しない」「出力を人間が確認する」というシンプルな三原則に尽きます。今日から自分の環境でAI連携ツールの権限を見直すことが、最も確実な第一歩になります。