ИИ-агенты кода: GitHub-issue крадёт секреты CI

Коротко о главном

5 августа 2026 года на конференции Black Hat USA исследователи из Novee Security показали, как один публичный GitHub-issue, открытый посторонним аккаунтом без прав на репозиторий, способен обратить ИИ-агентов для кода против проекта, который они обслуживают. Атака затрагивает конфигурации по умолчанию Claude Code (Anthropic), Gemini CLI (Google) и OpenAI Codex: в CI-пайплайне это ведёт к краже секретов и выполнению кода. Уже вышли исправления — обновите Gemini CLI до 0.39.1, run-gemini-cli до 0.1.22 и Claude Code до 2.1.163 и проверьте все workflow, которые может запустить внешний пользователь.

Суть проблемы не в самих моделях, а в «обвязке» (harness) — коде между моделью и реальным миром. Когда агент читает содержимое issue как инструкцию, а не как данные, чужой текст превращается в команду. Это тот же класс риска, что и в раскрытых ранее уязвимостях Cursor IDE, но здесь мишенью становится автоматизированный конвейер CI/CD, а не рабочая станция разработчика. Если вы автоматизируете разбор pull request'ов и тикетов ИИ-агентом, это ваша поверхность атаки — и её стоит закрывать вместе с информационной безопасностью и настройкой процессов DevOps.

Что именно нашли исследователи

Novee Security исходила из простого наблюдения: современные ИИ-агенты не просто генерируют текст, а получают доступ к файловой системе, сети и переменным окружения раннера. В CI-сценарии, где агент автоматически реагирует на новый issue или комментарий, посторонний может вписать в этот текст скрытые указания. Классическая prompt injection здесь — лишь способ доставки; реальный ущерб наносит то, что агент затем делает с правами пайплайна, где обычно лежат токены доступа, ключи API и права на запись в репозиторий.

Демонстрация строилась на дефолтных настройках официальных агентских репозиториев трёх вендоров. Именно поэтому находка так тревожна для команд: уязвимой оказывалась не экзотическая кастомная сборка, а конфигурация «из коробки», которую многие разворачивают в GitHub Actions, чтобы разгрузить инженеров от рутинной триажной работы.

Три вендора, три разных сценария

В Gemini CLI уязвимость получила идентификатор CVE-2026-12537 и максимальную оценку CVSS 10.0. Это внедрение команд ОС в запускатор контейнера через подготовленный файл .gemini/.env: в workflow, который обрабатывает недоверенный контент из pull request'а, вредоносный .env трактовался как легитимная конфигурация и позволял выполнить код на хосте headless-платформы CI ещё до того, как включалась изоляция песочницы. Google устранила проблему в Gemini CLI 0.39.1 и в GitHub-экшене run-gemini-cli 0.1.22.

В Claude Code уязвимость CVE-2026-54316 работала тоньше: агент превращал публичный счётчик загрузок на Hugging Face в канал утечки и передавал ключ API по одному символу за раз — приём, обходящий контроль исходящего трафика, потому что «наружу» шли лишь безобидные с виду обращения к популярному сервису. NVD оценил её по шкале CVSS 3.1 в 9.1, тогда как собственная оценка Anthropic по CVSS 4.0 — 6.0. Затронуты все выпуски Claude Code от 0.2.54 до 2.1.163; исправление вошло в версию 2.1.163.

Для OpenAI Codex отдельного CVE не выделяли: там речь о логической ошибке в организации работы, при которой первый проход агента мог изменить инструкции для второго прохода. Устранение — на уровне workflow, без патча продукта. Важная деталь для оценки срочности: по состоянию на 7 августа 2026 года ни уязвимость Gemini, ни уязвимость Claude Code не значились в каталоге активно эксплуатируемых уязвимостей CISA (KEV) — то есть публичных данных об атаках «в дикой природе» пока нет, но окно на упреждающее обновление ограничено.

Почему это важно для команд разработки

ИИ-агент в CI — это, по сути, привилегированный сервисный аккаунт, который читает недоверенный ввод. Стоит совместить эти два свойства в одном пайплайне, и любой, кто способен открыть issue или прислать pull request, получает косвенный доступ к правам этого аккаунта. Радиус поражения определяется не «умом» модели, а тем, какие секреты и разрешения доступны раннеру: токены облака, ключи реестров пакетов, права на пуш в защищённые ветки.

Отдельно опасен сам приём тихой эксфильтрации через легитимный сервис. Команды часто полагаются на egress-фильтрацию и allow-list доменов, но обращение к публичному счётчику загрузок выглядит нормально и не вызывает тревоги у мониторинга. Это напоминание: изоляция песочницы и сетевые ограничения — необходимые, но не достаточные меры, если сам агент можно уговорить действовать против интересов проекта.

Что делать прямо сейчас

Обновите инструменты до исправленных версий. Gemini CLI — до 0.39.1, GitHub-экшен run-gemini-cli — до 0.1.22, Claude Code — до 2.1.163. Для Codex примените рекомендованные вендором изменения на уровне workflow.

Проведите аудит триггеров. Составьте список всех автоматизаций, которые может запустить внешний пользователь: реакция на issue, комментарии, pull request'ы от форков. Каждый такой путь — потенциальный канал инъекции.

Разделите доверенный и недоверенный контекст. Не позволяйте агенту, обрабатывающему недоверенный ввод, работать с полным набором production-секретов. Используйте раздельные окружения, минимально необходимые права и одноразовые токены.

Ограничьте секреты в CI. Для job'ов, что касаются недоверенного контента, отключите доступ к секретам по умолчанию, сузьте область действия токенов GITHUB_TOKEN и не храните долгоживущие ключи в переменных окружения раннера.

Логируйте и проверяйте исходящий трафик агента. Не полагайтесь только на allow-list доменов: следите за аномальными паттернами обращений, даже к «безобидным» популярным сервисам.

Относитесь к содержимому issue как к недоверенным данным. На уровне процессов зафиксируйте правило: текст, пришедший извне, никогда не является инструкцией для агента. Эту дисциплину стоит закладывать в код-ревью и в IT-аудит процессов разработки.

Часто задаваемые вопросы

Нужно ли отказываться от ИИ-агентов в CI? Нет. Проблема не в идее автоматизации, а в конфигурации по умолчанию и в смешении доверенного и недоверенного контекста. После обновления версий и разделения прав агенты можно использовать безопасно.

Эти уязвимости уже эксплуатируют? Публичных подтверждений атак «в дикой природе» на 7 августа 2026 года нет — уязвимости не внесены в каталог CISA KEV. Но исправления и детали уже опубликованы, поэтому обновляться нужно не откладывая.

Мы используем агента только локально, не в CI. Мы в зоне риска? Основной сценарий демонстрации — headless-платформы CI, где у раннера есть привилегии и секреты. Локальная работа под контролем разработчика менее критична, но принцип «недоверенный ввод не должен управлять агентом» применим везде.

Достаточно ли песочницы? Нет. Уязвимость Gemini CLI выполняла код на хосте ещё до включения песочницы, а Claude Code сливал ключ через легитимный сервис в обход сетевых ограничений. Изоляция важна, но должна дополняться минимизацией прав и разделением контекста.