事件经过
安全研究人员在 Claude Code、Gemini CLI 和由 Codex 驱动的 CI 工作流中发现了漏洞，其中来自 GitHub 问题的不受信任的内容可能到达 CI 管道，导致 API 密钥暴露、CI 主机上的命令执行或对下一个代理运行所消费的指令的操纵。
影响分析
AI 代码代理越来越多地直接连接到 CI/CD 管道，具有对秘密和构建主机的访问权限。单个精心设计的 GitHub 问题——通常是外部未经身份验证的用户可以发布的内容——可以转向到主机命令执行和凭证盗取，将常规代码代理工作流转变为供应链妥协向量。
攻击途径
攻击者发布精心设计的 GitHub 问题；代码代理将问题内容作为其 CI 触发的工作流的一部分进行摄取，允许不受信任的输入到达 CI 运行程序中的 shell 执行或包含秘密的环境变量。
受影响系统
Claude Code、Gemini CLI 和基于 Codex 的 CI 代理工作流
缓解措施
将所有 GitHub 问题/PR 内容视为代理驱动的 CI 的不受信任的输入；沙箱化代理调用的 CI 运行程序，避免向代理触发的作业暴露长期存在的秘密，并在代理输出到达 shell 执行之前添加允许列表/验证。