Claude Code、Gemini CLI 和 GitHub Copilot Agents 因注释面临提示注入风险

一名研究人员披露了一种名为“注释与控制”的提示注入攻击方法细节，该方法已被证实可针对多款流行的人工智能代码安全及自动化工具。

此攻击方法由安全工程师兼漏洞研究员关奥南发现，约翰霍普金斯大学的研究人员刘正宇和钟加文提供了协助。

关奥南在周三发布的一篇博客文章中表示，该攻击已确认可对多款广泛使用的人工智能代理起作用，包括Anthropic的Claude Code安全审查工具、谷歌的Gemini CLI Action以及GitHub Copilot Agent。

研究人员发现，GitHub Actions上与这些工具相关联的人工智能代理，可通过精心构造的GitHub注释（包括拉取请求标题、评论和问题正文）被劫持。



以专为自动安全审查设计的Claude Code安全审查工具为例，研究人员展示了攻击者如何利用精心构造的拉取请求标题，诱使人工智能代理执行任意命令、提取凭证，并将其作为安全发现或GitHub Actions日志中的条目显示出来。

对于充当日常编码任务自主代理的Gemini CLI Action，研究人员使用带有提示注入标题的问题评论，以及精心构造的问题注释，绕过防护机制并获取完整的API密钥。

在针对GitHub Copilot Agent的“注释与控制”攻击中，专家们利用隐藏有效载荷的HTML注释，绕过环境过滤、扫描机密信息并绕过网络防火墙。

“注释与控制”攻击可能构成严重威胁，因为攻击者的恶意提示会由GitHub Actions工作流程自动触发，受害者无需任何操作（GitHub Copilot的情况除外，此时攻击者的问题必须由受害者手动分配给Copilot）。

关奥南解释称：“这种模式可能适用于任何接收不可信GitHub数据，且在与生产机密相同的运行时环境中有权访问执行工具的人工智能代理。不仅限于GitHub Actions，对于任何处理不可信输入并有权访问工具和机密的代理（如Slack机器人、Jira代理、电子邮件代理、部署自动化工具）都可能适用。注入点可能不同，但模式是一样的。”

研究结果已报告给Anthropic、谷歌和GitHub，三方均已确认。Anthropic将该问题归类为“严重”，并实施了一些缓解措施，向研究人员发放了100美元的漏洞奖励。谷歌支付了1337美元的漏洞奖励。

GitHub向研究人员奖励500美元，称他们的工作“引发了一些有价值的内部讨论”，但将该安全问题归类为已知的架构限制。

关奥南说：“这是首次公开演示一种单一提示注入模式可跨三个主要人工智能代理的跨厂商攻击。这三个漏洞都遵循相同模式：不可信的GitHub数据→人工智能代理处理数据→代理执行命令→通过GitHub本身泄露凭证。”

他补充道：“更深层次的问题在于架构：这些人工智能代理在处理不可信用户输入的同一运行时环境中，被赋予了强大的工具（bash执行、git推送、API调用）和机密信息（API密钥、令牌）。即使存在多层防御——模型层面、提示层面以及GitHub额外的三层运行时防御——它们仍可能被绕过，因为此处的提示注入并非漏洞，而是代理设计要处理的上下文。”