Claude Code GitHub Action 秘密洩漏事件 揭示 Agentic AI 全新威脅版圖

2026 年 6 月初，Microsoft 向全球開發團隊發出一個嚴厲警告：AI 代理同佢可以接觸到嘅機密之間，條界線比好多人想像中脆弱好多。今次披露詳細講解 Anthropic 嘅 Claude Code GitHub Action 點樣被利用，洩漏 CI/CD 流程嘅關鍵憑證，證明代理式工作流程嘅安全模型，需要一種近乎偏執嘅細心程度。

Claude Code GitHub Action 點樣洩漏機密？

Microsoft Threat Intelligence 喺 2026 年 6 月 5 日公開呢個漏洞，佢並唔係一個複雜嘅越獄攻擊，而係一個根本性嘅邊界失效問題——即係 Agent 內部唔同工具之間嘅沙箱隔離做得唔一致 。

Claude Code 喺以 GitHub Action 運行嘅時候，可以處理 Pull Request、Issue 同留言等唔可靠嘅內容。為咗防止呢啲內容入面嘅惡意指令被執行，Anthropic 已經為「Bash」工具做咗環境變數清理，仲喺工作流程可以由外部用戶觸發嗰陣，用 Bubblewrap 等技術做隔離 。

但問題係，「Read」工具（畀模型睇檔案內容嗰個）完全冇呢種隔離保護。佢係一個進程內嘅函數呼叫，直接、無沙箱咁存取成個檔案系統，包括敏感嘅 Linux 偽檔案 /proc/self/environ——呢個檔案會曝露一個進程嘅全套環境變數 。

一次攻擊可以喺幾步之內靜靜雞完成：

1. 攻擊者喺一個用緊 Claude Code GitHub Action 嘅公開 Repository 度，開一個睇落冇乜嘢嘅 Issue 或者 Pull Request。
2. 個 Issue 內文或者 HTML 註釋入面，收埋咗畀 AI 代理睇嘅指令，人類審查者掃一眼頁面係睇唔到嘅。
3. 當工作流程被觸發，AI 模型就會處理呢啲內容，當做自己嘅 Context 去跟住啲嵌入式指令，走去讀取 /proc/self/environ 。
4. 模型跟住可以再被指令將啲資料送出去，例如喺留言度貼返出嚟。研究人員仲發現一個進階手法，攻擊者會將 ANTHROPIC_API_KEY 嘅頭七個字符（sk-ant-）剝走，等自動秘密掃描器偵測唔到 。

呢種攻擊面——將自然語言指令注入資料，變成可以執行嘅命令——正正就係提示注入（Prompt Injection）嘅核心，呢種威脅向量正快速定義緊 AI 代理嘅安全格局。

補得及時：披露時間線

一個好關鍵嘅細節係，呢次係一次有協調嘅披露，修復行先過公開。

• 2026 年 5 月 5 日：Anthropic 發布咗 Claude Code 2.1.128 版本，透過將 Read 工具嘅沙箱隔離，同其他執行路徑嘅環境變數清理睇齊，緩解咗呢個漏洞 。
• 2026 年 6 月 5 日：Microsoft 發表詳細威脅分析，用呢個案例向成個業界提供逼切嘅安全建議 。

唔止一個 Bug：代理式 AI 系統嘅七種新失敗方式

Claude Code 嘅披露，其實發生喺一個更大規模嘅安全評估背景之下。早一日，即係 2026 年 6 月 4 日，Microsoft 嘅 AI Red Team 發表咗《代理式 AI 系統失敗模式分類法》2.0 版本 。呢次重大更新，建基於過去十二個月對已部署 Agent 嘅真實紅隊測試，新增咗七個全新嘅失敗類別，遠遠超出單一程式碼執行漏洞嘅範疇。

呢啲新失敗模式，代表住安全研究人員對自主 AI 系統嘅思考方式有咗重大升級：

1. 代理供應鏈危害 (Agentic Supply Chain Compromise)：同傳統嘅軟件供應鏈攻擊（交付惡意程式碼）唔同，呢種攻擊涉及被入侵嘅插件、MCP 伺服器或 Prompt 模板，佢哋注入自然語言指令去改變 Agent 行為，而且唔會觸發程式碼掃描器 。
2. 目標騎劫 (Goal Hijacking)：對手製作一啲睇落幫緊手完成正當任務嘅指令，但暗中將 Agent 嘅終極目標重新導向。由軟件角度睇，個 Agent 冇被入侵，但實際上已被武器化去達成攻擊者嘅目標 。
3. 中介 AI 信任擴張 (Inter-Agent Trust Escalation)：喺多 Agent 系統入面，一個被入侵嘅 Agent 可以向中央協調器（Orchestrator）虛報自己擁有更高信任等級或者誇大咗嘅權限，而個協調器又唔會獨立驗證。呢個係經典「糊塗代理」（Confused Deputy）問題嘅自然語言版本 。
4. 電腦操作 Agent 視覺攻擊 (Computer Use Agent Visual Attack)：操控圖形介面嘅 Agent，可以被一啲人類唔多覺眼嘅視覺資訊操縱，例如隱藏文字、螢幕外嘅 UI 元件，或者內嵌咗提示注入有效負載嘅圖片 。
5. Session 脈絡污染 (Session Context Contamination)：一種好鬼祟嘅攻擊，對手喺一個漫長、多步驟嘅 Agent Session 早期，引入有偏見或惡意嘅資訊。呢啲資料喺任何單一步驟都可能唔會觸發安全控制，但會喺之後一個睇落毫無關連嘅行動入面，污染咗 Agent 嘅推理 。
6. MCP / 插件濫用 (MCP / Plugin Abuse)：呢個係對模型上下文協議（MCP）同插件架構特定攻擊面嘅更新重點，呢啲架構正變成擴展 Agent 能力嘅標準方式 。
7. 能力 / 架構披露 (Capability / Architecture Disclosure)：Agent 本身可以被操控去洩漏敏感嘅內部設計細節，例如工具 Schema、記憶體介面，或者觸發人類審批嘅邏輯，為攻擊者提供未來更精準攻擊嘅藍圖 。

呢次擴充分類法，將框架由原本嘅 27 種失敗模式增加到 34 種，反映代理式系統日益增長嘅複雜性同現實世界嘅足跡 。

喺代理式 AI 世界中加固 CI/CD

針對 Claude Code 案例同更廣泛嘅分類法更新，Microsoft 為任何將 AI 代理整合到 Build Pipeline 嘅團隊，制定咗一套安全建議。指引強調，局部隔離只會帶嚟虛假嘅安心感。

• 將所有不可信內容視為注入媒介：永遠唔好自動對外部貢獻者嘅 Issue、PR 或留言執行 AI Agent 工作流程。呢啲內容必須被視為潛在嘅敵意輸入 。
• 一致地隔離工具：沙箱 Bash 工具同未隔離 Read 工具之間嘅差距證明，環境變數清理必須一致咁應用。一個無隔離嘅工具可以危害成個工作流程 。
• 實施最小權限：Agent 自己嘅 API 金鑰同存取權杖，應該擁有最窄嘅範圍，限制萬一曝露咗嗰陣嘅損害。可能嘅話，用 OIDC 去申請短暫、有特定目的嘅憑證 。
• 審查「人機迴圈」（Human-in-the-Loop）體驗：如果攻擊嘅有效負載收埋喺審查者永遠睇唔到嘅原始 Markdown 或 HTML 註釋入面，咁依賴人類審查嘅安全控制就可能會失效。人類審批步驟嘅強度，只等同於獲批人所見到嘅嘢 。
• 盤點 Agent 供應鏈：團隊應該為每個已部署嘅 Agent 生成軟件物料清單（SBOM），呢個做法同而家傳統軟件嘅供應鏈透明度標準係一致嘅 。

成個指引入面，貫穿住一個安全社群稱為 「Rule of Two」（法則二） 嘅核心架構原則。呢個原則源自 Meta 喺 2025 年 10 月為實用 Agent 安全提出嘅框架，規定一個 Agent 應該滿足以下三個條件中嘅唔超過兩個：處理不可信輸入、有權存取敏感資料，同埋有能力執行改變外部狀態嘅行動 。Claude Code 漏洞就係一次典型嘅違反呢個原則嘅案例，因為個 Agent 同時喺處理來自不可信 PR 嘅輸入，同埋揸住強大嘅憑證。