Claude Code GitHub Action 中的提示注入漏洞導致 CI/CD 秘密外洩

微軟已披露 — 而 Anthropic 隨後已修復 — Claude Code 的 GitHub Action 中存在一個嚴重的提示注入漏洞，攻擊者可能利用此漏洞從 CI/CD 管道中提取敏感憑證。此問題由微軟在週五的部落格文章中公開，並於 4 月 29 日透過 HackerOne 報告給 Anthropic，突顯了任何在開發流程中使用 AI 代理的專案所面臨的日益增長的風險 — 包括那些在管道中儲存 API 密鑰、雲端憑證或部署密鑰的加密貨幣團隊。 事件經過 - 微軟研究人員發現，他們可以將惡意指令隱藏在攻擊者控制的 GitHub 內容（問題、拉取請求或評論）中，誘使 Claude Code 處理這些內容並執行相應操作。 - 在概念驗證中，研究人員將有效載荷託管於其控制的網域上，利用該內容誘騙 Claude 讀取並轉換包含機密資訊的檔案，然後透過問題評論、工作流程日誌、網路請求或殼層指令重組並竊取憑證。 - 微軟特別指出，他們透過將殼層有效載荷隱藏在來自其網域的回應中，並從無寫入權限的使用者觸發工作流程，成功繞過了 Anthropic 的安全層，確保在測試期間環境變數清理機制處於啟用狀態。 為何對加密貨幣專案至關重要 CI/CD 環境通常儲存高價值的機密資訊 — 如交易所的 API 密鑰、節點或索引器的雲端憑證、智能合約的部署密鑰 — 使其成為誘人的攻擊目標。此類提示注入攻擊允許攻擊者將自然語言輸入（例如拉取請求描述）轉換為 AI 代理的可執行指令，從而可能在未直接入侵程式碼或系統的情況下獲取生產環境憑證。 背景與修復措施 Anthropic 於 10 月推出的程式碼助手 Claude Code，今年早些時候因 Anthropic 不慎洩露超過 50 萬行程式碼而受到更多關注。在微軟披露此漏洞後，Anthropic 於 5 月 5 日透過 Claude Code 2.1.128 版本修復了該 GitHub Action。 微軟的結論：AI 工作流程模糊了文字與可執行行為之間的界線，因此未受信任的輸入應被視為「預設敵對」。微軟警告，儘管有多重防禦措施，但有決心的攻擊者仍可能誘使代理洩露機密資訊 — 「只需一個精心設計的評論，加上對信任邊界的誤解，就足以竊取生產環境憑證。」 實用建議（高階） 儘管 Anthropic 已修復此特定漏洞，團隊仍應將 AI 增強的 CI/CD 工作流程視為高風險：限制可觸發工作流程的人員、最小化建置過程中可用的機密資訊、啟用嚴格的機密掃描、輪換暴露於 CI 的憑證，並假設任何未受信任的儲存庫內容均可能具有惡意。 此事件提醒加密貨幣開發者與基礎設施團隊應積極審計 AI 協助的自動化流程 — 自然語言代理帶來的便利性，若未嚴格執行信任邊界，將開闢新的攻擊面。