Anthropic、Google 和 OpenAI 自研编程代理的 GitHub Actions 默认配置均易受相同远程代码执行漏洞攻击

安全研究人员发现，三大实验室分别为其编程代理（Claude Code、Gemini CLI 和 Codex）发布的默认 GitHub Actions 配置，均可能被一个未经验证的 GitHub issue 触发，最终导致远程代码执行。在 Claude Code 的案例中，bash 参数校验器在检查前会剥离单引号内容，导致恶意 git 参数被视为空值并执行。Gemini CLI 的工具限制设置被证明仅为形式化装饰，运行时从未强制执行——Google 将该发现评为 CVSS 10.0 的最高分。Codex 的问题则在于其两步共享同一个可写检出目录的工作流，允许早期阶段植入恶意指令文件，供后期阶段作为权威配置加载。另一个独立但相关的漏洞出现在 Google 的 ADK 仓库：一个无需授权、低权限的分诊代理可被操纵触发需要维护者授权的高权限代理，从而继承其写入权限——这实际上成为了同一仓库内两个代理之间的权限提升跳板。这一切都不是“代理编写了有缺陷的代码”的问题，而是旨在隔离这些代理的 CI/CD 架构本身出现了故障，且这些架构正是厂商默认提供并推荐使用的配置。不知是否有人回头审计过自家代理的 CI 配置是否受此影响，还是大多数团队只是默认“来自厂商的就一定可靠”。来源：https://novee.security/blog/critical-flaws-in-anthropic-google-and-openais-coding-agents/