AI 編程代理進入 CI 後，GitHub Issue 也必須視為不可信輸入

安全研究團隊 Novee Security 在 Black Hat USA 2026 展示了針對 Claude Code、Gemini CLI 和 Codex 工作流的攻擊路徑。研究表明，公開 GitHub Issue 或其他外部內容只要能進入代理上下文，就可能誘導代理執行命令、讀取運行器環境，甚至影響後續代理任務。The Hacker News 報道稱，Claude Code 與 Gemini CLI 的兩條漏洞鏈已經修復：Gemini CLI 的相關問題對應 CVE-2026-12537，修復版本為 0.39.1；Claude Code 的 CVE-2026-54316 修復版本為 2.1.163。研究沒有證明這些鏈條已被真實攻擊者利用。

風險來自權限組合，而不只是模型「被提示詞騙了」。CI 任務通常同時擁有倉庫令牌、第三方 API 密鑰、命令執行能力和網絡訪問；當代理把 Issue 標題、正文或評論當作工作資料時，攻擊者便能把不可信文本送進一個擁有高權限的執行環境。一個看似普通的總結或去重任務，可能因此變成讀取環境變量、修改文件或外傳結果的動作。

使用 AI 編程代理的團隊應立即升級受影響組件，並審計由 issues、issue_comment 或外部 Pull Request 觸發的工作流。代理步驟應采用最小化 GITHUB_TOKEN 權限，盡量不註入不必要的密鑰，放在高權限步驟之後，並為不同代理運行使用隔離的工作目錄。廠商的修復只能降低已知路徑，不能替代對不可信上下文和工具權限的係統性隔離。

來源： - https://thehackernews.com/2026/08/claude-code-and-gemini-cli-flaws-let.html - https://github.com/google-github-actions/run-gemini-cli/security/advisories/GHSA-wpqr-6v78-jr5g - https://nvd.nist.gov/vuln/detail/CVE-2026-54316