何が起きたか
Anthropic の PR/イシューに対して Claude Code を実行するための公式 GitHub Action は、CLI を実行する前に攻撃者制御の PR ブランチから設定ファイル（.mcp.json など）をサニタイゼーションしませんでした。悪意あるコントリビューターが悪意あるMCP サーバー設定を注入できることを許可し、アクションが PR を処理するときに実行されました。
なぜ重要か
これは CI/CD 統合エージェント的コーディング上のサプライチェーンスタイルの攻撃です。外部 PR の自動レビューに claude-code-action を使用する公開リポジトリは、汚染された MCP 設定を供給する悪意あるプルリクエストで、単純に CI 環境（シークレット、トークン）を侵害できます。
攻撃経路
アクションは攻撃者制御の PR head ブランチをチェックアウトし、デフォルト設定ソースを通じて .mcp.json およびその他の設定ファイルを読み取り、その後無条件にチェックアウトされたディレクトリで Claude Code CLI を実行しました。悪意あるプルリクエストが汚染された .mcp.json を植え込める可能性があります。アクションによって読み込まれて実行されます。
影響を受けるシステム
Claude Code Action（anthropics/claude-code-action）1.0.74 前
緩和策
claude-code-action 1.0.74 以降にアップグレードしてください。実行前に PR のベースブランチから信頼できる設定を復元するようになりました（restoreConfigFromBase）。GitHub commit 9ddce40de8c1ab71fb6303a125fdad0968dc1312 を参照してください。