GitHub, 크로스 리포지토리 AI 에이전트 데이터 유출 방지용 enclaves 도입

• GitHub Agentic Workflows가 GA(일반 가용) 상태로 전환되며, 크로스 리포지토리 워크플로우에서 비공개 데이터 유출을 방지하기 위한 실험적 enclaves를 도입함
• Enclaves는 단일 사용 샌드박스로 작동하며, 신뢰할 수 있는 브로커가 에이전트 요청을 검증하고 비트 단위의 정보 예산을 강제함. 기밀 리포지토리는 실행당 8비트로 제한됨
• 응답 스키마는 에이전트 출력을 Boolean, 열거형, 제한된 정수로 제한하며, 민감한 정보 유출 가능성을 가진 자유 형식 문자열이나 임의 데이터를 거부함
• GitLost와 같은 공격을 차단하기 위해 주 에이전트가 비공개 리포지토리 스냅샷을 직접 보지 못하도록 하고, 격리된 enclaves에서 검증된 제한된 결과만 전달받도록 설계함

Enclave 작동 방식

• 주 에이전트는 대상 리포지토리, 계산 작업, 응답 스키마를 지정하여 enclaves를 시작함
• 브로커는 실행 전에 정보 비용을 계산하며, 타이밍 및 오류 채널을 포함한 최악의 경우 응답에 대한 예산을 예약함
• 결정론적 Python 체크용 스크립트 enclaves와 제한된 네트워크 접근이 있는 추론 작업용 에이전트 enclaves 두 가지 실행기 유형을 지원함

보안 경계

• 타이밍 채널은 고정 버킷과 무작위 지연으로 제한되며, 타이밍에 4비트, 성공/오류 상태에 1비트가 예약됨
• 예산은 워크플로우 실행 내에서 해당 리포지토리에 대한 모든 호출에 걸쳐 공유되어, 반복적인 Boolean 쿼리를 통한 시크릿 재구성 공격을 방지함
• Enclaves는 최소 권한 자격 증명을 보완하지만, 프로바이더 선택 및 데이터 처리 정책의 필요성을 대체하지 않음