💼VentureBeat•較早收集於 12m
AI 程式碼代理透過提示注入洩漏秘密
#prompt-injection#security-vuln#github-actionsclaude-code-security-reviewclaudegeminicopilotanthropicgithub
💡提示注入漏洞擊中頂級 AI 程式碼代理—立即檢查您的 GitHub 工作流程（32字）
⚡ 30-Second TL;DR
有什麼變化
單一 PR 標題注入在 Claude Code、Gemini CLI、Copilot Agent 洩漏 API 金鑰
為什麼重要
凸顯 AI 代理執行時期提示注入風險，敦促開發者審核 GitHub Actions 權限。系統卡揭示文件缺口，推動供應商朝執行時保護而非模型邊界。
下一步行動
審核您的儲存庫 GitHub Actions 的 pull_request_target 並限制 AI 代理權限。
誰應關注：Developers & AI Engineers
關鍵要點
- •單一 PR 標題注入在 Claude Code、Gemini CLI、Copilot Agent 洩漏 API 金鑰
- •利用為 AI 代理注入秘密的 pull_request_target 工作流程
- •Anthropic CVSS 9.4 嚴重（$100 賞金）、Google $1337、GitHub $500
- •供應商無 CVE 修補；Anthropic 揭露後更新文件
🧠 深度解析
AI-generated analysis for this event.
🔑 增強重點摘要
- •研究人員指出，此類攻擊的核心在於 AI 代理在處理 GitHub Pull Request 時，會自動執行包含惡意指令的環境變數或設定檔，導致權限提升。
- •此次漏洞揭露了 AI 開發工具在『自動化工作流程』與『安全性沙盒』之間的權衡矛盾，特別是當代理程式被賦予存取開發者環境變數（如 .env 檔案）的權限時。
- •供應商採取的修補措施主要集中在『提示詞過濾（Prompt Filtering）』與『執行環境隔離』，但研究人員警告，針對 AI 代理的提示注入攻擊面仍隨模型推理能力的提升而持續擴大。
🛠️ 技術深入
- •攻擊向量：利用 GitHub Actions 的 pull_request_target 事件，該事件允許工作流程存取目標儲存庫的 Secrets，即使 PR 來自外部 fork。
- •注入機制：攻擊者將惡意指令隱藏在 PR 標題或描述中，當 AI 代理讀取該 PR 以進行程式碼審查或摘要時，模型會將這些指令視為系統指令的一部分執行。
- •資料洩漏路徑：AI 代理在執行過程中，會嘗試讀取本地環境變數或設定檔，攻擊者透過注入指令誘導代理將這些敏感資訊輸出至 PR 評論區或公開的日誌中。
🔮 前景展望AI analysis grounded in cited sources
AI 代理將強制實施『最小權限原則』的沙盒執行環境。
為了防止類似的提示注入導致敏感資訊外洩，未來的 AI 開發工具將必須在隔離的容器中執行，且無法直接存取開發者的本地環境變數。
GitHub 將針對 pull_request_target 工作流程引入更嚴格的 AI 安全審查機制。
由於此類工作流程是 AI 代理攻擊的主要入口，平台方將被迫在 AI 讀取 PR 內容前，先進行惡意指令的預處理與過濾。
⏳ 時間線
2025-02
Anthropic 發布 Claude Code，標誌著 AI 代理進入開發者工作流程的核心。
2026-03
安全研究人員發現透過 PR 標題注入可導致 AI 代理洩漏 API 金鑰的漏洞。
2026-04
Anthropic、Google 與 GitHub 完成漏洞修補並向研究人員支付賞金。
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： VentureBeat ↗