Claude Code、Gemini CLI 和 GitHub Copilot Agents 因注释面临提示注入风险
- 浏览次数 15
- 喜欢 0
HackerNews 编译，转载请注明出处：
一名研究人员披露了一种名为 “注释与控制” 的提示注入攻击方法细节，该方法已被证实可针对多款流行的人工智能代码安全及自动化工具。
此攻击方法由安全工程师兼漏洞研究员关奥南发现，约翰霍普金斯大学的研究人员刘正宇和钟加文提供了协助。
关奥南在周三发布的一篇博客文章中表示，该攻击已确认可对多款广泛使用的人工智能代理起作用，包括 Anthropic 的 Claude Code 安全审查工具、谷歌的 Gemini CLI Action 以及 GitHub Copilot Agent。
研究人员发现，GitHub Actions 上与这些工具相关联的人工智能代理，可通过精心构造的 GitHub 注释（包括拉取请求标题、评论和问题正文）被劫持。
以专为自动安全审查设计的 Claude Code 安全审查工具为例，研究人员展示了攻击者如何利用精心构造的拉取请求标题，诱使人工智能代理执行任意命令、提取凭证，并将其作为安全发现或 GitHub Actions 日志中的条目显示出来。
对于充当日常编码任务自主代理的 Gemini CLI Action，研究人员使用带有提示注入标题的问题评论，以及精心构造的问题注释，绕过防护机制并获取完整的 API 密钥。
在针对 GitHub Copilot Agent 的 “注释与控制” 攻击中，专家们利用隐藏有效载荷的 HTML 注释，绕过环境过滤、扫描机密信息并绕过网络防火墙。
“注释与控制” 攻击可能构成严重威胁，因为攻击者的恶意提示会由 GitHub Actions 工作流程自动触发，受害者无需任何操作（GitHub Copilot 的情况除外，此时攻击者的问题必须由受害者手动分配给 Copilot）。
关奥南解释称：“这种模式可能适用于任何接收不可信 GitHub 数据，且在与生产机密相同的运行时环境中有权访问执行工具的人工智能代理。不仅限于 GitHub Actions，对于任何处理不可信输入并有权访问工具和机密的代理（如 Slack 机器人、Jira 代理、电子邮件代理、部署自动化工具）都可能适用。注入点可能不同，但模式是一样的。”
研究结果已报告给 Anthropic、谷歌和 GitHub，三方均已确认。Anthropic 将该问题归类为 “严重”，并实施了一些缓解措施，向研究人员发放了 100 美元的漏洞奖励。谷歌支付了 1337 美元的漏洞奖励。
GitHub 向研究人员奖励 500 美元，称他们的工作 “引发了一些有价值的内部讨论”，但将该安全问题归类为已知的架构限制。
关奥南说：“这是首次公开演示一种单一提示注入模式可跨三个主要人工智能代理的跨厂商攻击。这三个漏洞都遵循相同模式：不可信的 GitHub 数据→人工智能代理处理数据→代理执行命令→通过 GitHub 本身泄露凭证。”
他补充道：“更深层次的问题在于架构：这些人工智能代理在处理不可信用户输入的同一运行时环境中，被赋予了强大的工具（bash 执行、git 推送、API 调用）和机密信息（API 密钥、令牌）。即使存在多层防御 —— 模型层面、提示层面以及 GitHub 额外的三层运行时防御 —— 它们仍可能被绕过，因为此处的提示注入并非漏洞，而是代理设计要处理的上下文。”
消息来源：securityweek.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文