案例 camoleak-copilot-chat提示注入美国
CamoLeak：隐藏的PR评论使GitHub Copilot Chat泄露私有仓库机密
Legit Security发现一个CVSS 9.6的漏洞，拉取请求中不可见的markdown评论可引导Copilot Chat读取私有仓库，并通过GitHub的Camo图片代理逐字符外泄机密。
严重针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2025年10月9日
- 地点
- 美国
- 目标
- GitHub Copilot Chat
- 严重程度
- 严重
- 发起者
- Omer Mayraz（Legit Security）
- 行为者类型
- 安全研究人员
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Legit Security发现一个CVSS 9.6的漏洞，拉取请求中不可见的markdown评论可引导Copilot Chat读取私有仓库，并通过GitHub的Camo图片代理逐字符外泄机密。
影响: 概念验证从私有仓库外泄了AWS密钥、令牌和一个未披露零日漏洞的描述；该攻击还可通过Copilot建议推送恶意软件包
谁发起了攻击
行为者: Omer Mayraz（Legit Security）
归因: 2025年6月通过HackerOne负责任披露
动机: 安全研究
如何发生
攻击途径: 不可见的拉取请求或议题评论中的提示注入；Copilot以查看者权限行事，并将窃取的数据编码为一系列预生成的Camo图片URL以绕过CSP
根本原因: Copilot Chat将隐藏评论内容当作指令，并能通过受信任的Camo代理渲染图片，形成隐蔽外泄通道
时间线
- Legit Security通过HackerOne向GitHub报告漏洞
- GitHub禁用Copilot Chat中的图片渲染以关闭Camo通道
- CamoLeak公开披露
应对
GitHub禁用了Copilot Chat中的所有图片渲染，并阻止利用Camo泄露用户内容
当前状态: 已修补
来源（在新标签页打开）
- Legit Security legitsecurity.com
- The Register theregister.com
- eSecurity Planet esecurityplanet.com
引用此案例
CamoLeak：隐藏的PR评论使GitHub Copilot Chat泄露私有仓库机密. AI Threat Watch, 案例 camoleak-copilot-chat, 2025年10月9日. https://aithreat.io/zh/cases/camoleak-copilot-chat/