GitHub 會先擴展呢個 expression，之後先交畀 shell 執行。換句話講，如果惡意 Issue 標題包含單引號，就可能截斷原本預設的字串，再加插攻擊者自訂的 shell 指令。工作流程之後再用 sed 清理輸入，已經太遲，因為 shell 解析早已發生。

issues: opened 本身亦唔代表標題可信。公開儲存庫入面，任何可以開新 Issue 的使用者都能控制標題；即使工作流程設有只接受 Issue 活動的事件條件，亦無法阻止攻擊者提供的內容被插入 shell。

Copilot 是否「寫出」漏洞？

相關提交將「Copilot Autofix powered by AI」列為共同作者，而 AI 輔助審查亦未有指出問題。不過，現有證據未能证明 Copilot 究竟係生成咗不安全修改，定係只參與共同作者流程或審查人手寫的修改。

所以，較嚴謹的結論係：Copilot 同呢次修改有關，而且未能發現注入風險；但唔應該未經證實就斷言係模型親自寫出整段有問題的程式碼。

Red Agent 五日後點樣搵到？

Wiz 的自主 Red Agent 掃描 Snowflake 公開 GitHub 組織，專門尋找高風險 CI/CD 模式。它發現 Jira 工作流程將不受信任的 Issue 資料放入 shell run: 區塊，並推斷只要精心製作公開 Issue 標題，就可能喺 GitHub 託管的 Actions runner 上執行任意命令。

2026 年 6 月 23 日，即漏洞修改合併五日後，Red Agent 透過 Snowflake 的 HackerOne 漏洞披露計劃，開立一個特製 Issue。標題成功跳出原本的 shell 字串，令工作流程將 Jira 憑證傳送到由 Wiz 控制、專供授權概念驗證使用的 out-of-band 回呼端點。

呢次唔係失控入侵，而係獲授權的安全測試。不過，測試證明的安全問題相當實在：一個公開 Issue 標題，可以由普通的開 Issue 動作，推進到處理內部憑證的工作流程步驟，再變成命令執行。

暴露咗咩存取權？

被利用的工作流程可以接觸 Snowflake 內部 Jira 的設定，包括 Jira 網址、使用者電郵同 API Token。取出的 Token 與 qa@snowflake.net 有關；Wiz 用佢登入內部 Jira 入口，評估可能的影響範圍。

報道指相關存取涵蓋工程、安全合規及漏洞獎勵活動等 Jira 專案的讀取內容。 不過，現有資料未能完整確認該 Token 的全部權限，亦未能列出所有可以接觸的紀錄。因此，最穩妥的結論係：該 Token 足以登入並存取敏感的內部 Jira 內容，但未有證據證明它可以無限制存取 Snowflake 其他系統。

要留意的是，漏洞資產係公開儲存庫的 CI/CD 自動化，而唔係 Connector 本身。暫時未有報告指任何已發佈的 Snowflake Connector for .NET 版本受影響。

Snowflake 點樣處理？

Wiz 於 6 月 23 日報告漏洞後，Snowflake 當日已修正工作流程，並於翌日輪換暴露的 Jira 憑證。

Snowflake 之後檢查審計紀錄，表示暴露期間只有 Wiz 進行相關操作。Wiz 亦表示已安全刪除測試期間接觸到的概念驗證資料。

目前未有報告指第三方未經授權存取，亦未有報告指漏洞獲分配 CVE 編號，或者有任何已發佈的 Connector 版本受影響。呢啲係已確認影響的界線，但唔代表原本的工作流程設計安全：只要工作流程會處理內部憑證，公開 Issue 標題就唔應該直接成為 shell 指令的一部分。

對 GitHub Actions 的實際教訓

呢宗事件唔只關乎 Snowflake 或 Copilot，而係所有將 GitHub 資料帶入 shell 的 CI/CD 流程。Issue 標題、Pull Request 標題、分支名稱同留言，都應該當成敵意輸入處理。

較安全的做法包括：

• 透過環境變數傳遞不受信任資料，避免直接插入 run: script。
• 用 jq 等結構化工具建立 JSON，唔好靠拼接 shell 字串。
• 喺進入 shell 的邊界進行正確引用、驗證及編碼。
• 盡量避免令會處理攻擊者輸入的步驟同時接觸憑證。
• 對 AI 產生或修改的安全程式碼，採用同人手編寫程式碼一樣嚴格的獨立審查。

最值得警惕的地方係：AI 輔助工具可以錯過一個危險的 CI/CD 修改，而另一個自主攻擊代理就可能喺幾日內發現並驗證它。自動化可以同時加快修補同利用漏洞的速度，但始終取代唔到獨立的安全審查。

GitHub 會先擴展呢個 expression，之後先交畀 shell 執行。換句話講，如果惡意 Issue 標題包含單引號，就可能截斷原本預設的字串，再加插攻擊者自訂的 shell 指令。工作流程之後再用 sed 清理輸入，已經太遲，因為 shell 解析早已發生。

issues: opened 本身亦唔代表標題可信。公開儲存庫入面，任何可以開新 Issue 的使用者都能控制標題；即使工作流程設有只接受 Issue 活動的事件條件，亦無法阻止攻擊者提供的內容被插入 shell。

Copilot 是否「寫出」漏洞？

相關提交將「Copilot Autofix powered by AI」列為共同作者，而 AI 輔助審查亦未有指出問題。不過，現有證據未能证明 Copilot 究竟係生成咗不安全修改，定係只參與共同作者流程或審查人手寫的修改。

所以，較嚴謹的結論係：Copilot 同呢次修改有關，而且未能發現注入風險；但唔應該未經證實就斷言係模型親自寫出整段有問題的程式碼。

Red Agent 五日後點樣搵到？

Wiz 的自主 Red Agent 掃描 Snowflake 公開 GitHub 組織，專門尋找高風險 CI/CD 模式。它發現 Jira 工作流程將不受信任的 Issue 資料放入 shell run: 區塊，並推斷只要精心製作公開 Issue 標題，就可能喺 GitHub 託管的 Actions runner 上執行任意命令。

2026 年 6 月 23 日，即漏洞修改合併五日後，Red Agent 透過 Snowflake 的 HackerOne 漏洞披露計劃，開立一個特製 Issue。標題成功跳出原本的 shell 字串，令工作流程將 Jira 憑證傳送到由 Wiz 控制、專供授權概念驗證使用的 out-of-band 回呼端點。

呢次唔係失控入侵，而係獲授權的安全測試。不過，測試證明的安全問題相當實在：一個公開 Issue 標題，可以由普通的開 Issue 動作，推進到處理內部憑證的工作流程步驟，再變成命令執行。

暴露咗咩存取權？

被利用的工作流程可以接觸 Snowflake 內部 Jira 的設定，包括 Jira 網址、使用者電郵同 API Token。取出的 Token 與 qa@snowflake.net 有關；Wiz 用佢登入內部 Jira 入口，評估可能的影響範圍。

報道指相關存取涵蓋工程、安全合規及漏洞獎勵活動等 Jira 專案的讀取內容。 不過，現有資料未能完整確認該 Token 的全部權限，亦未能列出所有可以接觸的紀錄。因此，最穩妥的結論係：該 Token 足以登入並存取敏感的內部 Jira 內容，但未有證據證明它可以無限制存取 Snowflake 其他系統。

要留意的是，漏洞資產係公開儲存庫的 CI/CD 自動化，而唔係 Connector 本身。暫時未有報告指任何已發佈的 Snowflake Connector for .NET 版本受影響。

Snowflake 點樣處理？

Wiz 於 6 月 23 日報告漏洞後，Snowflake 當日已修正工作流程，並於翌日輪換暴露的 Jira 憑證。

Snowflake 之後檢查審計紀錄，表示暴露期間只有 Wiz 進行相關操作。Wiz 亦表示已安全刪除測試期間接觸到的概念驗證資料。

目前未有報告指第三方未經授權存取，亦未有報告指漏洞獲分配 CVE 編號，或者有任何已發佈的 Connector 版本受影響。呢啲係已確認影響的界線，但唔代表原本的工作流程設計安全：只要工作流程會處理內部憑證，公開 Issue 標題就唔應該直接成為 shell 指令的一部分。

對 GitHub Actions 的實際教訓

呢宗事件唔只關乎 Snowflake 或 Copilot，而係所有將 GitHub 資料帶入 shell 的 CI/CD 流程。Issue 標題、Pull Request 標題、分支名稱同留言，都應該當成敵意輸入處理。

較安全的做法包括：

• 透過環境變數傳遞不受信任資料，避免直接插入 run: script。
• 用 jq 等結構化工具建立 JSON，唔好靠拼接 shell 字串。
• 喺進入 shell 的邊界進行正確引用、驗證及編碼。
• 盡量避免令會處理攻擊者輸入的步驟同時接觸憑證。
• 對 AI 產生或修改的安全程式碼，採用同人手編寫程式碼一樣嚴格的獨立審查。

最值得警惕的地方係：AI 輔助工具可以錯過一個危險的 CI/CD 修改，而另一個自主攻擊代理就可能喺幾日內發現並驗證它。自動化可以同時加快修補同利用漏洞的速度，但始終取代唔到獨立的安全審查。