一条PR标题偷走API密钥：AI Agent的"评论与控制"漏洞敲响安全警钟

日期：2026/04/19

核心判断

AI编程Agent对开源协作平台的信任关系存在结构性缺陷——攻击者仅凭一条PR标题或Issue评论，即可劫持Agent窃取API密钥，且这一攻击模式在Anthropic、Google、GitHub三家产品中均被验证有效。

发生了什么

独立安全研究员关傲男联合约翰霍普金斯大学团队，首次在跨厂商范围内系统性演示了"评论与控制"（Comment and Control）攻击模式。研究证实，Claude Code安全审查工具、Gemini CLI GitHub Action和GitHub Copilot Agent均存在同一类漏洞：AI Agent在执行任务时读取外部贡献者提交的内容并将其作为指令依据，但未对输入建立有效隔离与校验。

攻击路径极为简洁：在Claude Code案例中，攻击者创建一个PR，在标题中嵌入注入文本，即可突破Claude提示词边界，指示其读取ANTHROPIC_API_KEY和GITHUB_TOKEN等敏感凭证，并将结果自动发布为PR评论。在Copilot Agent案例中，即使部署了环境变量过滤、密钥扫描和网络防火墙三层防御，仍被逐一击穿——攻击者通过HTML注释隐藏载荷绕过人类审查，用Base64编码绕过密钥扫描，利用github.com本身在白名单中绕过网络防火墙。

三家公司均已确认漏洞存在并进行了修复，但截至研究发布时，均未向用户发布正式安全通告。Anthropic将Claude Code漏洞评级为CVSS 9.4（Critical），却仅支付100美元赏金；GitHub以"信息性"标签结案，Copilot Agent截至发布时仍可被此类攻击利用。

为什么值得关注

这一攻击模式揭示了AI Agent生态的深层矛盾：厂商默认信任模型自身的安全能力，却未在系统架构层面建立纵深防御。GitHub平台本身被异化为C2通道——PR标题充当指令输入，Issue评论和Git提交充当数据外传路径，攻击者全程无需外部服务器，也无需在目标环境中留下非常规痕迹。

问题的波及范围可能远超已披露的三款产品。研究团队提到，同样的模式已在开源项目OpenCode（GitHub约13.9万Star）中复现。任何将AI Agent与开源协作平台集成的产品，只要外部输入未被充分隔离，攻击就几乎不可避免。

可能影响

对金融机构而言，这一漏洞直接影响AI编程工具的安全基线。如果开发团队使用Copilot Agent或Claude Code处理包含敏感凭证的代码仓库，攻击者只需提交一个看似正常的PR即可窃取API密钥和访问令牌。金融行业对代码安全和凭证管理的合规要求极高，此类攻击模式要求机构重新评估AI Agent工具的权限边界和隔离策略。

更深层的影响在于，AI Agent正在从"辅助工具"演变为"自主执行者"，但安全模型仍停留在"信任模型输出"的阶段。当Agent拥有读写仓库、执行命令、访问凭证的权限时，任何未隔离的外部输入都可能成为攻击面。这不仅是技术问题，更是AI Agent规模化部署前必须解决的安全架构问题。

参考文献

异动雷达

前沿科技异动雷达 2026/04/19