近期由 Novee Security 揭露的一項研究顯示，主流 AI 廠商提供的程式碼代理人工具在預設配置下存在嚴重安全缺陷。研究人員在 Black Hat USA 會議上展示，攻擊者僅需透過在 GitHub 提交一個無需儲存庫權限的 Issue（議題），即可在 Anthropic 的 Claude Code 與 Google 的 Gemini CLI 等工具所運行的 CI 執行環境中執行任意程式碼，甚至可能導致 CI Workflow Secrets（持續整合工作流中的機密金鑰或憑證）外洩。
背景與核心問題
這類漏洞的核心在於 Harness，即位於 AI 模型與真實作業系統之間的「控制層」程式碼。AI 模型本身僅負責生成建議，而 Harness 則決定這些建議如何被轉換為實際的系統指令。當 Harness 在驗證指令安全性時出現邏輯漏洞，或者在權限管理上過於寬鬆，就會讓 AI 代理人變成攻擊者的跳板。
在本次案例中，攻擊者利用 AI 代理人自動處理 GitHub 議題或分析程式碼的特性，將惡意指令植入輸入內容中。由於控制層未能正確過濾這些指令，導致 AI 在執行任務時，不自覺地在後端伺服器上執行了攻擊者的惡意指令。
Gemini CLI 的高風險指令注入
在本次揭露的漏洞中，Google 的 Gemini CLI 情況最為嚴重。CVE-2026-12537 被評定為 CVSS 4.0 最高分 10.0 的極危險漏洞。這是一個典型的 OS Command Injection（作業系統指令注入），發生在容器啟動器（Container Launcher）中。
攻擊者可以透過精心建構的 .gemini/.env 配置文件，在沙箱環境正式啟動之前，就在無頭 CI 平台（Headless CI Platform，指沒有圖形介面、自動化運行的伺服器環境）的主機上執行程式碼。此外，Gemini CLI 在處理工具允許清單（Allowlist）時存在缺陷：它僅在註冊工具時檢查清單，但在實際運行時缺乏強制執行機制。特別是在開啟 --yolo 模式（自動批准所有指令的模式）時，模型請求的任何指令都會被直接執行，完全繞過了安全檢查。
Claude Code 的資料外洩路徑
Anthropic 的 Claude Code 則面臨 CVE-2026-54316 漏洞。這是一個較為巧妙的資料外洩路徑，攻擊者利用 Hugging Face（知名 AI 模型託管平台）的公開下載計數器作為外洩通道，將 API 金鑰以單個字元為單位逐一傳出。
該漏洞的根源在於 Claude Code 的指令驗證器。驗證器在執行 23 項安全檢查之前，會先移除單引號包裹的文本，這符合 Bash Shell 的處理邏輯，但卻造成了漏洞。攻擊者可以利用 git push --receive-pack 等 Git 指令標記，將惡意內容隱藏在單引號中，使其在驗證階段被視為安全，但在實際執行時卻能被 Runner（執行任務的伺服器）完整接收並執行。
OpenAI Codex 的工作流缺陷
雖然 OpenAI 的 Codex 案例沒有被賦予 CVE 編號，但同樣揭示了工作流設計的風險。Novee 發現，在某些配置下，同一個 CI 工作（Job）中會連續執行兩次 Codex 處理，且共用同一個檔案檢查點（Checkout）。
第一階段的 Codex 可以修改 AGENTS.md（定義代理人行為的指令文件），而第二階段的 Codex 會讀取該文件作為執行指令。如果第一階段故意觸發 JSON 驗證失敗，就會啟動第二階段，從而讓攻擊者透過修改指令文件來劫持後續的 AI 執行流程。OpenAI 隨後將工作流調整為將不同階段分開在不同 Job 中執行，並使用 drop-sudo（捨棄超級用戶權限）與唯讀沙箱來降低風險。
影響、限制與實務意義
這三起事件共同證明了 AI 代理人工具在將 AI 權限與系統操作結合時，極易產生「權限錯位」的問題：即一部分程式碼將某個值標記為安全，而後續執行該值的程式碼卻擁有更高的系統權限。
目前 Gemini CLI 已更新至 0.39.1，run-gemini-cli 更新至 0.1.22，Claude Code 更新至 2.1.163 以修復上述漏洞。儘管 CISA（美國網路安全及基礎設施安全局）表示目前尚未發現這些漏洞在野外被大規模利用，但安全研究人員警告，開發者應審計所有可由外部用戶觸發的 CI 工作流。
實務上，這提醒企業在部署 AI 編碼代理人時，不能單純依賴 AI 廠商提供的預設設定。應採取最小權限原則，將 AI 代理人的執行環境與機密憑證隔離，並將 AI 產出的指令視為不可信的輸入（Untrusted Input），在執行前必須經過嚴格且不可繞過的靜態與動態驗證。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。