事件经过
Aikido Security的Rein Daelman披露了“PromptPwnd”，一种新的GitHub Actions漏洞类别，其中不可信数据（例如提交消息或问题正文）在CI/CD中的AI代理提示中使用。由于运行器暴露了机密和可写令牌，注入的指令使代理泄露GITHUB_TOKEN/云/API密钥或执行特权GitHub操作。Daelman通过泄露Gemini API密钥和GitHub令牌展示了针对Google Gemini CLI仓库的供应链入侵；谷歌在8月披露后修补了Gemini CLI工作流。
影响分析
AI编码和审查代理现在是CI中的常见特权角色。这将仓库的公开问题/PR跟踪器变成了一个远程攻击面，可以静默释放仓库和提供商凭证，并链接到下游消费者的供应链入侵——没有CVE且常常无法检测。
攻击途径
不可信的用户输入（问题正文、PR描述、提交消息）被插入CI工作流中的LLM提示中。代理将攻击者文本视为指令，并且由于它使用工作流的GITHUB_TOKEN和提供商凭证运行，可以使用其内置工具（例如gh issue edit）泄露机密、发布包含凭证的公开评论或修改工作流。
受影响系统
GitHub Actions / GitLab CI工作流，运行AI代理并将不可信的github.event.*字段插入代理提示（Gemini CLI、Claude Code Actions、OpenAI Codex、GitHub AI Inference及类似代理操作）
缓解措施
永远不要将不可信的github.event字段插入提示字符串（改用环境变量/结构化输入）；限制代理可调用的工具；将GITHUB_TOKEN的范围限制为最小权限；将AI输出视为不可信并限制特权操作。使用Aikido的开源Opengrep规则或等效工具扫描工作流。