Apa yang terjadi
Peneliti keamanan Novee Elad Meged mengungkap Cordyceps pada 2026-06-23: sebuah kelas sistemik dari rantai exploit CI/CD multi-langkah dalam alur kerja GitHub Actions di mana data eksternal yang tidak dipercaya (konten PR, komentar, nama branch) melintasi batas kepercayaan ke langkah alur kerja dengan privilege tinggi. Pemindai standar melewatkannya karena setiap langkah individual tampak benign; kerentanan hanya ada dalam komposisi. Novee memverifikasi 300+ rantai yang sepenuhnya dapat dieksploitasi dari pemindaian 30.000 repo, dengan dampak kritis yang dikonfirmasi pada Microsoft Azure Sentinel dan Google's AI Agent Development Kit.
Mengapa penting
Google's AI Agent Development Kit adalah proyek infrastruktur pengembangan AI agent kunci. Kompromi terhadap pipeline CI-nya melalui satu pull request memberikan akses tingkat cloud owner ke lingkungan CI Google. AI coding agents secara khusus disebutkan sebagai mempercepat penyebaran pola CI/CD yang rentan — menghasilkan YAML yang tidak aman dalam skala besar di seluruh ekosistem. Ini adalah risiko supply chain sistemik untuk toolchain pengembangan AI.
Vektor serangan
Penyerang dengan hanya akun GitHub gratis mengirimkan pull request jahat atau komentar PR; crossing batas kepercayaan yang tidak aman dalam YAML GitHub Actions memungkinkan konten PR yang tidak dipercaya mengalir ke alur kerja dengan privilege tinggi, mengeksekusi kode penyerang pada CI runner dan mencuri kunci GitHub App yang tidak kadaluarsa, kredensial cloud, atau token penandatanganan paket. Pada Google AI ADK, satu PR mencapai kontrol terautentikasi atas proyek Google Cloud yang terkait.
Sistem yang terdampak
Alur kerja CI/CD GitHub Actions di seluruh proyek AI dan software utama; dikonfirmasi: Google AI Agent Development Kit (adk-samples), Microsoft Azure Sentinel, Apache Doris, Cloudflare Workers SDK, Python Software Foundation Black — 300+ repo diverifikasi dapat dieksploitasi dari 30.000 yang dipindai
Mitigasi
Audit semua file GitHub Actions .yml untuk pelanggaran batas kepercayaan antara trigger pull_request_target dan secrets/langkah yang diprivilegikan. Terapkan prinsip least privilege pada token alur kerja. Organisasi yang terdampak (Microsoft, Google, Apache, Cloudflare, PSF) telah menerapkan perbaikan. Penelitian Novee: https://novee.security/blog/cordyceps/