然而，整個安全模型卻在「Read」——那個讓模型讀取檔案內容的工具——上徹底崩塌。

Read 工具以一個內嵌的函式呼叫形式運作，擁有完全不經沙箱隔離、直接存取整個檔案系統的最高權限 。這包括了 Linux 系統中那極其敏感的偽檔案：/proc/self/environ。這個檔案毫無遮掩地暴露了該行程（Process）的所有環境變數——也就是所有你注入的 CI/CD 密鑰 。

一場精心策劃的攻擊，只需幾個低調的步驟就能完成：

1. 埋下種子：攻擊者在一個使用 Claude Code GitHub Action 的公開倉庫中，開啟一個看似正常的 Issue 或 PR。
2. 隱藏指令：在 Issue 的內文或人類審查者平常不會點開查看的 HTML 註解中，寫入給 AI 代理的指令 。
3. 誘導執行：當工作流程被觸發，AI 模型將這些內容視為上下文的一部份，並遵循其中的指示讀取 /proc/self/environ 。
4. 無聲外洩：模型可被進一步指示將讀取到的內容貼回留言中，完成機密外洩。研究人員甚至觀察到一種更狡猾的變體，攻擊指令會要求模型自動剝離 ANTHROPIC_API_KEY 的前七個字元（即 sk-ant-），以躲避常規的自動化機密掃描器 。

這種將自然語言注入資料後轉變為可執行指令的攻擊面，正是提示注入的核心。它正在迅速定義 AI 代理時代的全新安全景觀。

補救與揭露時間線

一個至關重要的細節是，這是一次在完成修補之後才進行的協調揭露行動。

• 2026 年 5 月 5 日：Anthropic 釋出 Claude Code 2.1.128 版，修正了這項漏洞，讓 Read 工具的沙箱隔離與其他執行路徑的環境變數清洗機制對齊 。
• 2026 年 6 月 5 日：微軟公開了詳細的威脅分析報告，以此案例作為迫切的安全建議基礎，向整個產業發出警告 。

更大規模的威脅藍圖：七種駭入 AI 代理的全新手法

Claude Code 的漏洞揭露只是冰山一角。就在一天前，也就是 2026 年 6 月 4 日，微軟 AI 紅隊公佈了《代理型 AI 系統失敗模式分類學》2.0 版 。

這份重大更新紮根於長達十二個月的真實世界紅隊演練，針對已部署的 AI 代理進行攻擊模擬。它不僅僅是微調原有內容，更是一口氣新增了七大類過去從未見過的失敗模式。這些新模式將安全研究員對自主 AI 系統的威脅認知，推向了一個全新的層次：

1. 代理供應鏈妥協：有別於傳統供應鏈攻擊交付惡意程式碼，此模式是透過被入侵的插件、MCP 伺服器或提示模板，注入自然語言指令來改變代理的行為意圖，而且完全不觸發任何程式碼掃描器的警報 。
2. 目標劫持：攻擊者設計的指令，表面上是在幫忙完成正當任務，實際上卻在默默地將代理的最終目標重新導向。從軟體本身的角度來看，代理並未被入侵，但它已經成了被攻擊者武器化的棋子，為其邪惡目標效勞 。
3. 多代理間的信任擴張：在一個多代理系統中，一個被攻陷的代理可以向中央調度單元謊稱自己擁有更高的信任層級或更大的權限，而調度者卻沒有獨立驗證這些宣稱。這如同經典「混淆的代理人」漏洞在自然語言領域的復刻版 。
4. 電腦使用代理的視覺攻擊：針對那些能操作圖形使用者介面（GUI）的代理，攻擊者可以透過人類肉眼難以察覺的方式來操控它，例如藏有惡意提示注入的隱藏文字、螢幕外介面元素或特定圖片 。
5. 對話脈絡汙染：一種極其細微的攻擊。在一個漫長、包含多個步驟的代理對話開端，攻擊者就悄悄植入偏差或惡意資訊。這些資訊可能在每一步的安全檢查中都安然過關，但卻在最關鍵的後續推理步驟中，默默地腐化了代理的決策與行動 。
6. MCP 與外掛濫用：這是對原有分類中「工具功能遭濫用」的更新，更聚焦在模型上下文協定（MCP）與外掛架構這些逐漸成為擴展代理能力標準途徑的攻擊面上 。
7. 能力與架構的自我揭露：代理本身可能被迫洩漏敏感的內部設計細節，像是工具的架構模式、系統記憶體的介面運作方式，甚至是何時會觸發人類複核的邏輯判斷條件。這些資訊都成為攻擊者繪製未來更精準攻擊行動的藍圖 。

這次擴編讓微軟此份權威性分類學的總失敗模式數，從原本的 27 種一舉增加到 34 種，深刻反映了代理型 AI 系統日益增長的複雜度與在真實世界中日漸擴大的足跡 。

代理時代的 CI/CD 生存指南：一致性隔離與「雙重限制法則」

有鑑於 Claude Code 的漏洞與更廣泛的分類學更新，微軟針對所有將 AI 代理整合進 CI/CD 管線的團隊，提出了一系列具體的安全建議。這份指南的核心精髓在於：部份的隔離等於沒有隔離，那是一個虛假的舒適圈。

• 將所有不可信內容視為注入向量：永遠不要讓 AI 代理工作流程在面對外部協作者提交的 Issue、PR 或留言時自動執行。這些輸入必須被當作潛在的敵對攻擊來看待 。
• 一致性地隔離所有工具：Bash 工具受到沙箱保護，但 Read 工具卻形同裸奔，這之間的巨大落差證明環境變數清洗必須統一實施，不能有破口。一套 CI/CD 工作流程中，只要有一個未受隔離的攻擊面，整條防線就形同虛設 。
• 嚴守最小權限原則：AI 代理本身的 API 金鑰與存取權杖，其作用的範圍應該被限縮到極致，即使不幸外洩，也能將損害控制在最小。盡可能使用 OIDC 來核發短期、特定用途的憑證 。
• 重新審查「人機協作」的安全環節：如果攻擊指令藏在人類審查者永遠不會看到的原始 Markdown 或 HTML 註解中，那麼依賴「人類複核」的安全控制就會完全失效。人類的最終審核權限，只有在它所要審查的內容能被完整看見時，才能真正發揮作用 。
• 盤點你的代理供應鏈：模擬傳統軟體供應鏈中產出「軟體物料清單」（SBOM）的標準流程，團隊應為每一個部署的 AI 代理生成一份清單，清楚掌握其由哪些元件構成，以實現供應鏈的透明度 。

而在這些建議的背後，交織著一個由安全社群提出的核心設計哲學——「雙重限制法則」。

這個法則由 Meta 在 2025 年 10 月的一份關於實用代理安全的框架中首次提出。它規定：一個 AI 代理，在任何時刻，都不應同時滿足以下三個條件中的超過兩個：

1. 處理不可信的輸入
2. 擁有存取敏感資料的權限
3. 具備執行可改變外部狀態的操作能力

Claude Code 的漏洞，正是徹底違反這項法則的經典案例。該代理在當下正同時處理著來自不可信 PR 的指令，又擁有功能強大的憑證，這本身就是一種災難性的設計。遵循此法則，團隊便能以一種可量化、決定性的方式，確保 AI 代理的爆炸影響範圍能被限制在可控的框架內。

然而，整個安全模型卻在「Read」——那個讓模型讀取檔案內容的工具——上徹底崩塌。

Read 工具以一個內嵌的函式呼叫形式運作，擁有完全不經沙箱隔離、直接存取整個檔案系統的最高權限 。這包括了 Linux 系統中那極其敏感的偽檔案：/proc/self/environ。這個檔案毫無遮掩地暴露了該行程（Process）的所有環境變數——也就是所有你注入的 CI/CD 密鑰 。

一場精心策劃的攻擊，只需幾個低調的步驟就能完成：

1. 埋下種子：攻擊者在一個使用 Claude Code GitHub Action 的公開倉庫中，開啟一個看似正常的 Issue 或 PR。
2. 隱藏指令：在 Issue 的內文或人類審查者平常不會點開查看的 HTML 註解中，寫入給 AI 代理的指令 。
3. 誘導執行：當工作流程被觸發，AI 模型將這些內容視為上下文的一部份，並遵循其中的指示讀取 /proc/self/environ 。
4. 無聲外洩：模型可被進一步指示將讀取到的內容貼回留言中，完成機密外洩。研究人員甚至觀察到一種更狡猾的變體，攻擊指令會要求模型自動剝離 ANTHROPIC_API_KEY 的前七個字元（即 sk-ant-），以躲避常規的自動化機密掃描器 。

這種將自然語言注入資料後轉變為可執行指令的攻擊面，正是提示注入的核心。它正在迅速定義 AI 代理時代的全新安全景觀。

補救與揭露時間線

一個至關重要的細節是，這是一次在完成修補之後才進行的協調揭露行動。

• 2026 年 5 月 5 日：Anthropic 釋出 Claude Code 2.1.128 版，修正了這項漏洞，讓 Read 工具的沙箱隔離與其他執行路徑的環境變數清洗機制對齊 。
• 2026 年 6 月 5 日：微軟公開了詳細的威脅分析報告，以此案例作為迫切的安全建議基礎，向整個產業發出警告 。

更大規模的威脅藍圖：七種駭入 AI 代理的全新手法

Claude Code 的漏洞揭露只是冰山一角。就在一天前，也就是 2026 年 6 月 4 日，微軟 AI 紅隊公佈了《代理型 AI 系統失敗模式分類學》2.0 版 。

這份重大更新紮根於長達十二個月的真實世界紅隊演練，針對已部署的 AI 代理進行攻擊模擬。它不僅僅是微調原有內容，更是一口氣新增了七大類過去從未見過的失敗模式。這些新模式將安全研究員對自主 AI 系統的威脅認知，推向了一個全新的層次：

1. 代理供應鏈妥協：有別於傳統供應鏈攻擊交付惡意程式碼，此模式是透過被入侵的插件、MCP 伺服器或提示模板，注入自然語言指令來改變代理的行為意圖，而且完全不觸發任何程式碼掃描器的警報 。
2. 目標劫持：攻擊者設計的指令，表面上是在幫忙完成正當任務，實際上卻在默默地將代理的最終目標重新導向。從軟體本身的角度來看，代理並未被入侵，但它已經成了被攻擊者武器化的棋子，為其邪惡目標效勞 。
3. 多代理間的信任擴張：在一個多代理系統中，一個被攻陷的代理可以向中央調度單元謊稱自己擁有更高的信任層級或更大的權限，而調度者卻沒有獨立驗證這些宣稱。這如同經典「混淆的代理人」漏洞在自然語言領域的復刻版 。
4. 電腦使用代理的視覺攻擊：針對那些能操作圖形使用者介面（GUI）的代理，攻擊者可以透過人類肉眼難以察覺的方式來操控它，例如藏有惡意提示注入的隱藏文字、螢幕外介面元素或特定圖片 。
5. 對話脈絡汙染：一種極其細微的攻擊。在一個漫長、包含多個步驟的代理對話開端，攻擊者就悄悄植入偏差或惡意資訊。這些資訊可能在每一步的安全檢查中都安然過關，但卻在最關鍵的後續推理步驟中，默默地腐化了代理的決策與行動 。
6. MCP 與外掛濫用：這是對原有分類中「工具功能遭濫用」的更新，更聚焦在模型上下文協定（MCP）與外掛架構這些逐漸成為擴展代理能力標準途徑的攻擊面上 。
7. 能力與架構的自我揭露：代理本身可能被迫洩漏敏感的內部設計細節，像是工具的架構模式、系統記憶體的介面運作方式，甚至是何時會觸發人類複核的邏輯判斷條件。這些資訊都成為攻擊者繪製未來更精準攻擊行動的藍圖 。

這次擴編讓微軟此份權威性分類學的總失敗模式數，從原本的 27 種一舉增加到 34 種，深刻反映了代理型 AI 系統日益增長的複雜度與在真實世界中日漸擴大的足跡 。

代理時代的 CI/CD 生存指南：一致性隔離與「雙重限制法則」

有鑑於 Claude Code 的漏洞與更廣泛的分類學更新，微軟針對所有將 AI 代理整合進 CI/CD 管線的團隊，提出了一系列具體的安全建議。這份指南的核心精髓在於：部份的隔離等於沒有隔離，那是一個虛假的舒適圈。

• 將所有不可信內容視為注入向量：永遠不要讓 AI 代理工作流程在面對外部協作者提交的 Issue、PR 或留言時自動執行。這些輸入必須被當作潛在的敵對攻擊來看待 。
• 一致性地隔離所有工具：Bash 工具受到沙箱保護，但 Read 工具卻形同裸奔，這之間的巨大落差證明環境變數清洗必須統一實施，不能有破口。一套 CI/CD 工作流程中，只要有一個未受隔離的攻擊面，整條防線就形同虛設 。
• 嚴守最小權限原則：AI 代理本身的 API 金鑰與存取權杖，其作用的範圍應該被限縮到極致，即使不幸外洩，也能將損害控制在最小。盡可能使用 OIDC 來核發短期、特定用途的憑證 。
• 重新審查「人機協作」的安全環節：如果攻擊指令藏在人類審查者永遠不會看到的原始 Markdown 或 HTML 註解中，那麼依賴「人類複核」的安全控制就會完全失效。人類的最終審核權限，只有在它所要審查的內容能被完整看見時，才能真正發揮作用 。
• 盤點你的代理供應鏈：模擬傳統軟體供應鏈中產出「軟體物料清單」（SBOM）的標準流程，團隊應為每一個部署的 AI 代理生成一份清單，清楚掌握其由哪些元件構成，以實現供應鏈的透明度 。

而在這些建議的背後，交織著一個由安全社群提出的核心設計哲學——「雙重限制法則」。

這個法則由 Meta 在 2025 年 10 月的一份關於實用代理安全的框架中首次提出。它規定：一個 AI 代理，在任何時刻，都不應同時滿足以下三個條件中的超過兩個：

1. 處理不可信的輸入
2. 擁有存取敏感資料的權限
3. 具備執行可改變外部狀態的操作能力

Claude Code 的漏洞，正是徹底違反這項法則的經典案例。該代理在當下正同時處理著來自不可信 PR 的指令，又擁有功能強大的憑證，這本身就是一種災難性的設計。遵循此法則，團隊便能以一種可量化、決定性的方式，確保 AI 代理的爆炸影響範圍能被限制在可控的框架內。