آسیب‌پذیری در GitHub Action کلود کد، امکان تصاحب مخازن با یک ایشوی مخرب را فراهم کرد

یک محقق امنیتی نقصی در افزونه گیت‌هاب (GitHub Action) مربوط به Claude Code شرکت Anthropic کشف کرد که به مهاجم اجازه می‌داد تنها با باز کردن یک «ایشو» (issue) در گیت‌هاب، کنترل مخازن عمومی آسیب‌پذیر را در دست بگیرد. RyotaK از شرکت GMO Flatt Security این آسیب‌پذیری را در ژانویه به Anthropic گزارش داد و این شرکت ظرف چهار روز آن را برطرف کرد؛ اصلاحات نهایی در نسخه v1.0.94 از claude-code-action منتشر شده و Anthropic این آسیب‌پذیری را با امتیاز ۷.۸ بر اساس استاندارد CVSS v4.0 ارزیابی کرده و جایزه کشف باگ (bug bounty) پرداخت نموده است. ریشه مشکل در بررسی مجوز راه‌اندازی (trigger check) بود که هر حساب کاربری با نام ختم‌شونده به «[bot]» را معتبر می‌شناخت، در حالی که هر کسی می‌تواند یک اپلیکیشن گیت‌هاب ثبت کرده و از توکن آن برای باز کردن ایشو در مخازن عمومی استفاده کند. مهاجم با بهره‌گیری از تزریق دستور غیرمستقیم (indirect prompt injection)، محتوایی طراحی می‌کرد که مدل هوش مصنوعی را وادار می‌ساخت اطلاعات حساس محیطی از جمله اعتبارنامه‌های OIDC را استخراج و در ایشو منتشر کند؛ اعتبارنامه‌هایی که می‌توانستند برای دسترسی نوشتاری به کد، ایشوها و فایل‌های workflow مورد سوءاستفاده قرار گیرند.

این آسیب‌پذیری صرفاً نظری نیست؛ در فوریه، یک حمله مشابه از طریق تزریق دستور به workflow مربوط به ابزار Cline منجر به سرقت توکن انتشار npm و عرضه غیرمجاز نسخه [email protected] شد. RyotaK اعلام کرده تاکنون حدود ۵۰ روش مختلف برای دور زدن سیستم مجوزدهی Claude Code کشف کرده است. توصیه می‌شود کاربران فوراً به نسخه v1.0.94 یا بالاتر به‌روزرسانی کنند، دسترسی کاربران فاقد مجوز نوشتاری و ربات‌ها به workflow را محدود سازند و از ارائه هرگونه اطلاعات محرمانه فراتر از کلید API و GITHUB_TOKEN به ورودی‌های غیرمعتبر خودداری نمایند. این رویدادها نشان می‌دهند که تزریق دستور (prompt injection) در عوامل هوش مصنوعی مجهز به ابزارهای واقعی همچنان یک تهدید جدی و حل‌نشده است.