GitHub Taskflow-agent fant 24 sårbarheter i Android-apper, ifølge egen casestudie
GitHub Security Lab publiserte 28. september 2026 en casestudie der AI-agenten Taskflow, bygget om for Android-sikkerhetsrevisjon, fant og rapporterte 24 sårbarheter i Android-apper – blant dem lydløs posisjonssporing i OsmAnd og kontokapring i Wikipedia-appen. Men tallet og detaljene er GitHub sine egne oppgivelser gjengitt gjennom sekundære kilder, og agenten viste en tydelig skjevhet: den var flink til å finne feil, dårlig til å dømme hvor alvorlige de var.
Hva som skjedde
Forsker Kevin Stubbings ved GitHub Security Lab bygde egne AI-drevne revisjonsflyter – såkalte «taskflows» – på toppen av laboratoriets åpne kildekode-agent Taskflow, og brukte dem til å finne og rapportere sårbarheter i Android-apper. Ifølge Cybersecurity News, som gjengir GitHub Security Labs egen kunngjøring, handler det om 24 sårbarheter; Help Net Security skriver «mer enn 20». Begge kilder er sekundære gjengivelser av casestudien, så tallet bør leses som GitHub sin tallangivelse – ikke som uavhengig verifisert.
Blant funnene topper seg to case som illustrerer hva slags sårbarheter agenten faktisk klarer å spore: en kjede i navigasjonsappen OsmAnd som muliggjør skjult posisjonssporing, og en to-trinns angrepskjede i Wikipedia-appen for Android som kan gi full kontokapring.
Slik fungerer agenten
I stedet for å skanne hele kodebaser med generiske prompter, består Android-tilpasningen av to faser. Én taskflow identifiserer mobile inngangspunkter – eksporterte aktiviteter, services, broadcast receivers og deeplinks. En annen vurderer hvert inngangspunkt mot Android-spesifikke sårbarhetsklasser: usikre intents, confused deputy-problemer, utrygge broadcasts, cross-app scripting og WebView-risiko.
Poenten med denne todelingen er at agenten ikke bare oppsummerer kode, men følger konkrete angrepsveier: først «hvor kan utenforstående kode komme inn?», deretter «hva kan en angriper få ut av hver inngang?» Resultatene samles i en SQLite-tabell kalt audit_results.
Case 1: OsmAnd – rutedeskrekonstruksjon uten brukerens viten
OsmAnd har over 10 millioner nedlastinger på Play Store. I appen godtok en eksportert aktivitet kalt MapActivity intent-extraverdier som egentlig skulle være reservert en intern kanal. Det betyr at hvilken som helst app på telefonen – uten noen tillatelser – kunne bruke disse ekstraverdiene, som ifølge Cybersecurity News inkluderer silent_import, replace og export_type_list_key, til å importere ondsinnede innstillinger i stillhet.
Angrepskjeden ser slik ut: en umprivilegert ondsinnet app bytter ut OsmAnd sin kartfliskilde mot en angriperstyrt server. Deretter logger serveren koordinatene til hver kartflis offeret laster inn. Siden kartfliser tilsvarer geografiske områder, kan angriperen rekonstruere offerets ruter – alt uten at brukeren merker noe. Help Net Security omtaler det som posisjonssporing uten brukerens viten, drevet av appens egne kartdata.
Case 2: Wikipedia – kontokapring etter én trykket lenke
Wikipedia-appen hadde to lenkede feil. Først brukte hostname-sjekken i deeplink-handleren endsWith() i stedet for å matche hele domenet. Det gjorde at en wikipedia://-lenke kunne peke mot et lookalike-domene som evil-wikipedia.org og laste det inn i appens WebView – der angriperens JavaScript kjører i en kontekst appen behandler som betrodd.
Den andre feilen satt i cookie-manageren: WebView kunne hente offerets langvarige sesjonscookies. Kjedet sammen gir angriperen et autentiserings- og sesjonstoken som er gyldig på tvers av alle Wikimedia-prosjekter – Wikipedia, Wikimedia Commons, Wikidata og Meta – etter at offeret trykker én ondsinnet lenke.
Hvor AI-automasjonen stopper
Det er kanskje det mest avslørende funnet i casestudien: modellen var bedre til å finne feil enn til å vurdere hvor farlige de var. Ifølge Help Net Security, med henvisning til Stubbings, fortsatte modellen å flagge lavrisiko-funn selv etter å ha blitt bedt om å la være, og den tok seg feil av reell påvirkning i tilfeller der en avbøtende faktor – som intern lagring som lydløst overkjører angriperstyrt ekstern lagring – stille opphevet det som så ut som en fungerende exploit.
Derfor advarer GitHub mot å godta AI-funn uten ekspertgjennomgang: språkmodeller kan gjenkjenne kodemønstre og relevante API-er, men de kan også feilvurdere alvorlighetsgrad, overse avbøtende atferd eller generere falske positiver. Forskerne fant at et krav om at modellen skal bygge et proof of concept forbedrer triagen betydelig – men menneskelig testing forblir nødvendig, og hvert funn trenger en reviewer som kjenner mobilutvikling.
Tilgjengelighet og kostnad
Taskflow-agenten og Android-revisjonsflytene er åpen kildekode og fritt tilgjengelige. Men det er ikke gratis å kjøre: det kreves en GitHub Copilot-lisens, og en revisjon av et middels stort kodebasis kan ta én til to timer og bruke mange premium model requests. Ingen presise kostnadstall er offentliggjort.
Åpne spørsmål
En del av bildet forblir uklart. Det er ikke bekreftet om alle 24 sårbarhetene er fikset, om noen av dem er tildelt CVE-er, eller hvilke apper utover OsmAnd og Wikipedia som er berørt – ingen av de tilgjengelige kildene lister dem opp. Hele saken hviler dessuten på sekundære gjengivelser av GitHub Security Labs egen casestudie; ingen av detaljene er uavhengig verifisert.
Det er likevel en konkret markør på en utvikling: AI-drevet sårbarhetsresearch har beveget seg fra bred kodegjennomgang til å spore fullstendige angrepskjeder i store, utbredte apper – med mennesker fortsatt på slutten av triage-køen.