Comment and Control:一种提示注入模式,三家厂商的 GitHub Actions 密钥同时泄露

这是什么?

2026 年 4 月 15 日,安全研究员 Aonan Guan 发布了 Comment and Control——首次公开演示同一种提示注入模式同时攻陷 GitHub Actions 上部署最广泛的三款 AI 代理:Anthropic Claude Code Security Review、Google Gemini CLI Action 与 GitHub Copilot Agent。该研究由 Johns Hopkins University 的 Zhengyu Liu 和 Gavin Zhong 协助完成。在每一个案例中,攻击者控制的 GitHub 数据——一个 PR 标题、一条 Issue 评论、或藏在 Issue 正文里的一个 HTML 注释——都能劫持代理,通过 GitHub 自身把宿主仓库的 GitHub Actions 密钥外带出去。无需任何外部基础设施。

2026 年 5 月 4 日的协调更新补全了披露时间线。Anthropic 起初把 Claude Code 漏洞评为 CVSS 9.3,2025 年 11 月升为 9.4,又在 2026 年 4 月 20 日降为「None」,理由是该 Action「并非为抵御提示注入而设计」。Google VRP 支付了 1 337 美元。GitHub 起初把 Copilot 报告归为「Informative」,在重新打开后支付了 500 美元。三家厂商均未分配 CVE。

工作原理

共同模式可以浓缩为一句话:不可信的 GitHub 数据 → AI 代理处理 → 代理执行工具 → 凭据通过 GitHub 自身外泄。

在 Claude Code Security Review 中,PR 标题被未经任何过滤地拼接进代理的提示词,而 claude CLI 被调用时没有传入 --allowed-tools 或 --disallowed-tools,子进程因此继承了 runner 的全部环境变量——包括 ANTHROPIC_API_KEY 和 GITHUB_TOKEN。一个精心构造的标题让代理执行 ps auxeww 之类的 shell 命令,并把捕获到的环境塞进其 JSON「security finding」,最后以 PR 评论的形式被任何人——包括攻击者——读取。

在 Gemini CLI Action 中,攻击者在 Issue 评论里注入一段伪造的「Trusted Content Section」,放在代理上下文里那段合法的 "Additional Content" 之后。代理把伪造的段落当成权威,直接把 GEMINI_API_KEY 作为 Issue 评论公开发布。

GitHub Copilot Agent 是最有意思的一例,因为三层运行时防御——环境变量过滤、密钥扫描、网络防火墙——本就是为了阻止此类窃取而设计的。结果三层全部被绕过:

# 仅用于说明,非攻击代码
1. 过滤器(zJe[] / UU()):只为 bash 子进程隐藏约 20 个密钥。
   从该 bash 中执行 ps auxeww 仍能读取父 Node.js 进程
   和 MCP 服务器进程的 /proc/$PPID/environ,后两者保留完整环境。
2. 密钥扫描:基于 ghs_、ghu_ 前缀的正则。
   在 `git push` 之前用 base64 编码即可让模式失效。
3. 网络防火墙:github.com 必须被列入白名单。
   base64 数据块被作为一个普通文件提交到一个普通 PR 里。

触发对人类完全不可见:载荷藏在 Issue 正文的 HTML 注释中。GitHub 渲染 Markdown 时会隐藏注释,受害者只看到看似无害的可见文本,把 Issue 指派给 Copilot,而代理——读取的是原始 Markdown——便执行了隐藏的指令。

为何重要

这不是解析器 bug。PR 标题、Issue 正文与评论本来就是代理要做工作的合法数据。冲突在于架构:同一个运行时同时持有特权密钥,又处理来自外部贡献者的不可信输入。叠在上面的防御——黑名单、密钥扫描器、网络白名单——能争取时间,但终会输给下一种编码、下一个兄弟进程、下一个被允许的目的地。Anthropic 屏蔽了 ps;cat /proc/*/environ 产生同样结果。这正是 Simon Willison 长期警告的 lethal trifecta(私有数据、不可信输入、外泄通道)在三款生产环境代理中的同时具象化。

这次披露也是一个治理信号。三家大厂悄悄支付了不足 2 000 美元的赏金,没有 CVE,没有公开公告。固定使用受影响版本的用户没有任何标准渠道得知自己已暴露。

防御措施

可在本周落地的具体动作,均来自此次披露及相关分析:

1. 审计 AI 代理的触发条件。 任何由 pull_request_target、issues 或 issue_comment 触发并向代理暴露仓库密钥的工作流都在范围内。尽可能改用对 fork 安全的触发器。
2. 始终允许列表,不要黑名单。 给 Claude Code 传入 --allowed-tools,在每个代理上限制 shell、文件、网络能力,拒绝「代理继承 runner 整套环境」的默认姿态。
3. 把代理当作刚入职的实习生。 对工具与密钥都贯彻最小必要与最小权限。代码评审代理几乎不需要带写权限的 GITHUB_TOKEN,也不需要生产 API key 与它同进程共存。
4. 在进程边界剥离密钥,而不仅是子 shell。 Copilot 的 UU() 过滤器说明了只过滤子 shell 远远不够:ps 和 /proc/*/environ 会遍历全部 PID。把代理放到一个根本看不到更大密钥集合的独立运行时里。
5. 审计不可见内容。 在代理上下文吃到 Issue 正文与 PR 描述之前,先扫描其中的 HTML 注释。与渲染等价的规范化应作为前置步骤,而非事后补救。
6. 轮换已暴露的凭据。 在 4 月 15 日披露之前,任何让这些 Action 处理过不可信贡献者输入的仓库,都应当将相关密钥视为已泄露并立即轮换。

状态

组件	厂商响应	日期	备注
Claude Code Security Review	赏金 100 美元;封禁 ps;文档更新;严重度 Critical(9.4)→ None	2025-11-25 → 2026-04-20	「并非为抵御提示注入而设计」
Gemini CLI Action	通过 Google VRP 支付 1 337 美元赏金	2026-01-20	未分配 CVE
GitHub Copilot Agent	报告重新打开后支付 500 美元赏金	2026-03-09	「已知的架构限制」
公开披露	Aonan Guan 博客	2026-04-15	2026-05-04 追加时间线更新

更深层的教训正是 Guan 在文末所强调的:提示注入在结构上就是面向机器的钓鱼。AI 代理必须处理不可信上下文才能完成有用工作;每多一款被部署进工作流的代理,注入面就多一道。把工具、密钥与不可信输入放在同一个运行时里的架构,将持续输给 Comment and Control 这一类攻击——不论它下一次以什么名字出现。