新聞

資安業者Novee Security分析Anthropic Claude Code、Google Gemini CLI與OpenAI Codex的自動化工作流程，發現三套AI程式開發代理雖採用不同安全機制，仍可能在工具權限、沙箱隔離及共享工作區等環節出現信任落差。攻擊者可透過GitHub議題送入惡意內容，進而影響代理執行，研究展示的攻擊方式包括遠端程式碼執行、機密資料外洩及持續控制後續代理。

外部輸入造成的提示注入、工具權限與命令限制失效、行程（process）與機密資料隔離不完整，以及共享工作區遭污染等問題，並非單純來自AI模型接受惡意提示，而是代理取得檔案、命令列及網路等工具後，各層防護對可信操作的判斷不一致。原本在單一環節成立的限制，資料或工作狀態交給下一個元件後可能不再有效。

Claude Code案例中，研究人員先利用允許執行的Git操作繞過安全檢查，在執行環境執行任意程式碼。Anthropic修補後，研究人員又找到讀取環境機密及利用公開服務帶出API金鑰的方法，其中最後一項問題編為CVE-2026-54316，Anthropic已將Claude Code對huggingface.co的預先允許存取範圍限縮至文件路徑。

Gemini CLI的問題則出現在命令限制與行程隔離。工作流程表面上只允許少數命令，但實際執行時沒有完整套用限制，而另一方面，系統雖從代理啟動的子行程移除GitHub權杖及Gemini API金鑰，親代行程仍保留這些資料，攻擊者因而有機會從同一執行環境讀取。Google將相關安全問題評為CVSS 10.0，並修改非互動式自動執行環境的信任機制。

Codex案例則利用兩次代理執行共用同一工作區，第一個Codex若受到惡意內容影響，可寫入Codex會自動讀取的AGENTS.md專案指令檔，而第二個Codex啟動後再把這份檔案當成指令載入，使第一階段的惡意影響延續到下一階段。

OpenAI後來將兩次Codex執行拆到不同工作環境，避免前一階段留下的檔案影響後續代理，並進一步採用唯讀沙箱。研究人員表示，他們也在超過百個公開儲存庫發現類似AI代理自動化配置。