Lỗ hổng Prompt-Injection trong GitHub Action của Claude Code làm lộ bí mật CI/CD

Microsoft đã tiết lộ — và Anthropic sau đó đã vá — một lỗ hổng nghiêm trọng về prompt-injection trong GitHub Action của Claude Code, có thể cho phép kẻ tấn công trích xuất thông tin xác thực nhạy cảm khỏi các pipeline CI/CD. Vấn đề này được Microsoft công bố trong bài đăng blog vào thứ Sáu và được báo cáo cho Anthropic qua HackerOne vào ngày 29 tháng Tư, làm nổi bật nguy cơ ngày càng gia tăng đối với bất kỳ dự án nào sử dụng các tác nhân AI trong quy trình phát triển — bao gồm cả các nhóm tiền mã hóa lưu trữ khóa API, thông tin xác thực đám mây hoặc bí mật triển khai trong các pipeline đó. Điều gì đã xảy ra: - Các nhà nghiên cứu của Microsoft phát hiện họ có thể ẩn các hướng dẫn độc hại trong nội dung GitHub do kẻ tấn công kiểm soát (vấn đề, pull request hoặc bình luận) để Claude Code xử lý nội dung đó và thực hiện theo. - Trong một ví dụ minh họa, các nhà nghiên cứu đã lưu trữ payload trên một miền mà họ kiểm soát, sử dụng nội dung đó để lừa Claude đọc và biến đổi các tệp chứa bí mật, sau đó tái tạo và đánh cắp thông tin xác thực thông qua bình luận vấn đề, nhật ký workflow, yêu cầu web hoặc lệnh shell. - Microsoft đặc biệt lưu ý họ đã vượt qua các lớp bảo mật của Anthropic bằng cách che giấu payload shell phía sau các phản hồi từ miền của họ và kích hoạt workflow từ người dùng không có quyền ghi, đảm bảo các công cụ xóa biến môi trường đang hoạt động trong quá trình kiểm tra. Tại sao điều này quan trọng với các dự án tiền mã hóa: Môi trường CI/CD thường chứa các bí mật có giá trị cao — khóa API cho các sàn giao dịch, thông tin xác thực đám mây cho các nút mạng hoặc bộ chỉ mục, khóa triển khai cho các hợp đồng thông minh — khiến chúng trở thành mục tiêu hấp dẫn. Các cuộc tấn công prompt injection như thế này cho phép kẻ tấn công biến các đầu vào ngôn ngữ tự nhiên (ví dụ: mô tả pull request) thành các lệnh thực thi cho tác nhân AI, có thể cung cấp cho chúng đường dẫn đến thông tin xác thực sản xuất mà không cần xâm phạm trực tiếp mã hoặc hệ thống. Bối cảnh và biện pháp khắc phục: Claude Code, trợ lý lập trình của Anthropic được giới thiệu vào tháng Mười, đã chịu sự giám sát chặt chẽ hơn trong đầu năm nay sau khi Anthropic vô tình phơi bày hơn 500.000 dòng mã nguồn của mình vào tháng Ba. Sau khi Microsoft tiết lộ, Anthropic đã vá GitHub Action vào ngày 5 tháng Năm với phiên bản Claude Code 2.1.128. Kết luận của Microsoft: Các workflow AI làm mờ ranh giới giữa văn bản và hành vi thực thi, do đó các đầu vào không đáng tin cậy phải được coi là “độc hại theo mặc định”. Công ty cảnh báo rằng dù có nhiều lớp phòng vệ, một kẻ tấn công quyết tâm vẫn có thể lừa tác nhân rò rỉ bí mật — “chỉ cần một bình luận được thiết kế cẩn thận kết hợp với một ranh giới tin tưởng bị hiểu nhầm là đủ để lấy đi thông tin xác thực sản xuất.” Các bước thực tế (tổng quan): Mặc dù Anthropic đã vá lỗ hổng cụ thể này, các nhóm nên coi các workflow CI/CD có hỗ trợ AI là rủi ro cao: hạn chế người có thể kích hoạt workflow, giảm thiểu bí mật được cung cấp cho các bản dựng, kích hoạt quét bí mật nghiêm ngặt, xoay đổi thông tin xác thực đã bị phơi bày trong CI, và giả định bất kỳ nội dung nào từ kho lưu trữ không đáng tin cậy đều có thể là độc hại. Sự cố này là lời nhắc nhở dành cho các nhà phát triển và đội ngũ hạ tầng tiền mã hóa cần kiểm tra tích cực các quy trình tự động hóa được hỗ trợ bởi AI — sự tiện lợi của các tác nhân ngôn ngữ tự nhiên có thể mở ra các bề mặt tấn công mới nếu ranh giới tin tưởng không được thực thi.