Microsoft ujawnia lukę w Claude Code, która mogła ujawniać sekrety CI/CD

Badacze z Microsoft Threat Intelligence wykazali, że narzędzie Claude Code GitHub Action od Anthropic dało się oszukać tak, by samo wyciągnęło poufne dane uwierzytelniające z potoku CI/CD. Wystarczyło ukryć odpowiednio sformułowane polecenie w treści zgłoszenia na GitHubie, żeby agent AI odczytał zmienne środowiskowe zawierające klucze API.

Jak działał atak

Mechanizm opierał się na klasycznym prompt injection, czyli ukryciu instrukcji dla modelu AI w treści, którą czyta człowiek jako nieszkodliwą. Badacze przygotowali przykład zamaskowany jako prośbę o przegląd zgodności, który nakazywał agentowi sięgnąć do pliku /proc/self/environ i przyciąć wynik o siedem znaków, by ominąć filtry bezpieczeństwa modelu oraz automatyczny skaner sekretów GitHuba.

Fałszywe polecenie trafiało do treści zgłoszenia (issue) lub opisu pull requesta na GitHubie. Człowiek przeglądający taką treść nie widział niczego podejrzanego, ale agent AI przetwarzający surowy tekst markdown odczytywał ukrytą instrukcję jako polecenie do wykonania. W niektórych wariantach ataku fragment kodu ukrywano nawet w komentarzu HTML, niewidocznym w renderowanym widoku GitHuba.

Luka w architekturze narzędzi

Sedno problemu leżało w niespójnym traktowaniu różnych narzędzi dostępnych agentowi. Narzędzie Bash, służące do uruchamiania poleceń powłoki, działało wewnątrz piaskownicy, która usuwała zmienne środowiskowe przed wykonaniem kodu. Narzędzie Read, odpowiedzialne za odczyt plików, nie miało analogicznego zabezpieczenia i pozwalało agentowi sięgnąć bezpośrednio do plików systemowych zawierających poufne dane środowiska uruchomieniowego.

Read tool nie podlega tej samej izolacji [co narzędzie Bash] - Microsoft Defender Security Research Team

W praktyce oznaczało to, że osoba atakująca mogła obejść zabezpieczenia bez uruchamiania jakiegokolwiek podejrzanego polecenia powłoki, korzystając wyłącznie z legalnej funkcji odczytu plików, którą agent i tak miał do dyspozycji w normalnym trybie pracy.

Skala ryzyka dla firm

Microsoft podkreślił, że wykradzione w ten sposób sekrety, na przykład klucze API do Anthropic czy tokeny dostępu do repozytoriów, mogą posłużyć do podszycia się pod cały przepływ pracy CI/CD, zużycia zasobów obliczeniowych na koszt ofiary albo uzyskania głębszego dostępu do połączonych systemów firmy. Ponieważ Claude Code Action bywa podłączony bezpośrednio do repozytoriów produkcyjnych, konsekwencje wycieku mogły wykraczać poza pojedynczy potok budowania.

Firma zaproponowała zasadę nazwaną Agents Rule of Two: żaden przepływ pracy oparty na agencie AI nie powinien jednocześnie przetwarzać niezaufanych danych wejściowych, mieć dostęp do sekretów oraz wykonywać działań zmieniających stan systemu lub komunikujących się na zewnątrz. Spełnienie wszystkich trzech warunków naraz, zdaniem badaczy, otwiera drogę do podobnych ataków niezależnie od konkretnego dostawcy modelu.

Co dalej dla zespołów programistycznych

Microsoft zalecił programistom korzystającym z agentów kodujących w CI/CD stosowanie zasady najmniejszych uprawnień dla każdego tokenu i klucza API, tworzenie osobnych kluczy dla każdego środowiska i przepływu pracy, jawne oznaczanie w promptach systemowych, które źródła danych są niezaufane, oraz ograniczanie każdego workflow do jednego, ściśle określonego zadania. Rekomendowano też monitorowanie wzorców zużycia API na poziomie dostawcy modelu, co pozwala wykryć nietypową aktywność, zanim dojdzie do wycieku.

Dla polskich zespołów deweloperskich, które coraz częściej podłączają Claude Code, Codex czy inne agenty kodujące bezpośrednio do repozytoriów na GitHubie, sprawa jest sygnałem, że automatyczne przetwarzanie zgłoszeń i pull requestów przez AI wymaga takiego samego traktowania jak każdy inny nieufany wsad zewnętrzny. Sama obecność piaskownicy dla jednego narzędzia agenta nie gwarantuje, że inne narzędzia tego samego agenta są równie dobrze zabezpieczone.

Anthropic zareagował stosunkowo szybko, publikując poprawkę zaledwie kilka dni po zgłoszeniu przez Microsoft, jeszcze przed publicznym ujawnieniem szczegółów luki. Taki tryb odpowiedzialnego ujawnienia, z miesięcznym opóźnieniem między łatką a opisem technicznym, jest standardową praktyką w branży bezpieczeństwa i miał dać czas użytkownikom na aktualizację przed upowszechnieniem się wiedzy o metodzie ataku.

Sprawa dołącza do rosnącej listy incydentów pokazujących, że agenci kodujący AI podłączeni do rzeczywistych repozytoriów i potoków wdrożeniowych stanowią nową powierzchnię ataku, odrębną od klasycznych zagrożeń webowych. W miarę jak coraz więcej firm automatyzuje przeglądy kodu i obsługę zgłoszeń za pomocą takich narzędzi, podobne luki w rozdzieleniu uprawnień między poszczególnymi funkcjami agenta mogą pojawiać się także u innych dostawców.