智能体AI安全警钟：从Claude Code密钥泄露到微软七大新增失效模式

2026年6月初，微软向全球开发团队发出了一项严峻警告：AI智能体与其所能访问的机密之间的界限，远比多数人想象的要薄弱。他们披露了一项细节，展示了一个在Anthropic的Claude Code GitHub Action中常见的工具，如何被武器化以泄露关键的CI/CD凭证，这表明智能体工作流的安全模型需要对细节的极度关注。

Claude Code GitHub Action如何泄露密钥

微软威胁情报团队于2026年6月5日披露的这一漏洞，并非复杂的越狱攻击。它是一个根本性的边界失效，发生在智能体内部不同工具的沙箱隔离上。

作为GitHub Action运行时，Claude Code可以处理来自拉取请求、议题和评论中的不可信内容。为防止这些内容中的恶意指令执行命令，Anthropic为其"Bash"工具实施了环境清理，当工作流可被外部用户触发时，会使用Bubblewrap等隔离技术。

然而，用于让模型查看文件内容的"Read"工具却没有这样的隔离机制。它作为一个进程内函数调用运行，直接、无沙箱地访问整个文件系统，包括敏感的Linux伪文件 /proc/self/environ，该文件暴露了进程的完整环境变量集。

一次攻击可通过几个隐蔽的步骤展开：

1. 攻击者在一个使用了Claude Code GitHub Action的公共仓库中，开启一个看似无害的议题或拉取请求。
2. 议题正文或一个HTML注释中包含了对AI智能体的指令，而浏览页面的人类审查者对此不可见。
3. 当工作流被触发时，AI模型将此内容作为其上下文的一部分进行处理，并遵循嵌入的指令去读取 /proc/self/environ 。
4. 接着，可以进一步指示模型将数据外泄，例如通过发布评论回传。研究人员还提到了一种优化手法，即攻击会剥离 ANTHROPIC_API_KEY 的前七个字符 (sk-ant-)，以规避自动密钥扫描器的检测。

这种将注入数据中的自然语言指令变为可执行命令的攻击面，正是提示注入的核心，这是一种正在迅速定义AI智能体安全格局的威胁向量。

先发制人的补丁：披露时间线

一个关键细节是，这是一次协同披露，补丁先于公告发布。

• 2026年5月5日：Anthropic发布了 Claude Code 2.1.128版本，通过将Read工具的沙箱机制与其他执行路径已有的环境清理对齐，缓解了该漏洞。
• 2026年6月5日：微软发布了详细的技术威胁分析，以此为案例研究，为整个行业提供了紧急安全建议。

超越单一漏洞：智能体AI系统失效的七种新方式

Claude Code的披露，是在一个更全面的安全评估背景下发生的。就在一天前，即2026年6月4日，微软AI红队发布了其《智能体AI系统失效模式分类法》2.0版。这次重大更新基于对已部署智能体长达12个月的真实红队实战经验，新增了七个全新的失效类别，其影响远超单一的代码执行缺陷。

这些新增的失效模式，代表了安全研究人员对自主AI系统思考方式的重大升级：

1. 智能体供应链攻击：与传统的软件供应链攻击传递恶意代码不同，这种攻击通过被攻破的插件、MCP服务器或提示模板，注入自然语言指令来改变智能体行为，而不会触发代码扫描器。
2. 目标劫持：攻击者精心设计的指令看似在帮助完成合法任务，实则悄悄地将智能体的最终目标重定向。从软件角度看，智能体并未被攻破，但已被武器化以实现攻击者的目标。
3. 智能体间信任提升：在多智能体系统中，一个已被攻破的智能体可以虚假地向中心协调器声称自己拥有更高信任度的身份或夸大的权限，而协调器并未进行独立验证。这堪称经典"混淆代理"问题的自然语言版本。
4. 计算机使用智能体视觉攻击：操作图形界面的智能体，可能被对人类不明显的视觉信息所操纵，例如隐藏文本、屏幕外UI元素，或嵌入了提示注入载荷的图片。
5. 会话上下文污染：一种微妙的攻击，攻击者在长时间、多步骤的智能体会话早期引入有偏见或恶意的信息。这些数据可能不会在任何单一步骤中触发安全控制，但却会在后续看似不相关的操作中，腐蚀智能体的推理过程。
6. MCP/插件滥用：一个针对模型上下文协议和插件架构特定攻击面的更新焦点，这些架构正在成为扩展智能体能力的标准方式。
7. 能力/架构泄露：智能体本身可能被诱导泄露敏感的内部设计细节，例如工具模式、记忆接口或触发人类批准的底层逻辑，从而为攻击者提供未来更精准攻击的蓝图。

这次扩展的分类法，将其原有的27种失效模式增加到34种，反映了智能体系统日益增长的复杂性和现实世界的影响力。

在智能体世界中加固CI/CD安全

针对Claude Code案例及更广泛的分类更新，微软为所有将AI智能体集成到构建流水线的团队，制定了一套安全建议。其核心指导思想是：部分隔离是一种虚假的安全感。

• 将所有不可信内容视为注入向量：切勿在来自外部贡献者的议题、PR或评论上，自动运行AI智能体工作流。这些内容必须被视为潜在的恶意输入。
• 统一工具隔离：受沙箱保护的Bash工具与无沙箱的Read工具之间的差距表明，环境清理必须统一应用。一个无沙箱的工具就可能危及整个工作流。
• 遵循最小权限原则：智能体自身的API密钥和访问令牌应具有尽可能窄的权限范围，以限制其泄露后可能造成的损害。可能时，使用OIDC生成短期、特定用途的凭证。
• 审查人机交互体验：依赖人工审查的安全控制可能失效，如果攻击载荷隐藏在审查者看不到的原始Markdown或HTML注释中。人工批准环节的强度，仅取决于批准时可见内容的范围。
• 清点智能体供应链：团队应为每个已部署的智能体生成软件物料清单，这种做法与现在传统软件标配的供应链可见性如出一辙。

贯穿这些建议的，是一个安全社区称之为 "二原则" 的核心架构理念。该原则源自Meta于2025年10月提出的实用智能体安全框架，它规定一个智能体在以下三个条件中，应满足不超过两个：处理不可信输入、有权访问敏感数据，以及具备执行可改变外部状态操作的能力。Claude Code的漏洞正是对这一原则的典型违背，因为该智能体同时处理来自不可信PR的输入，并持有具有强大能力的凭证。