Claude Code、Gemini CLI與Codex共通信任風險，惡意GitHub議題可影響後續代理

資安業者Novee Security最近對Anthropic Claude Code、Google Gemini CLI與OpenAI Codex進行了深入分析，發現這三套AI程式開發代理在工具權限、行程隔離及共享工作區等方面存在信任落差，攻擊者可透過GitHub惡意內容繞過限制，造成程式碼執行、機密外洩，甚至持續影響後續代理。

背景分析

這三套AI程式開發代理雖採用不同安全機制，但都可能在工具權限、沙箱隔離及共享工作區等環節出現信任落差。攻擊者可透過GitHub議題送入惡意內容，進而影響代理執行，研究展示的攻擊方式包括遠端程式碼執行、機密資料外洩及持續控制後續代理。這些問題並非單純來自AI模型接受惡意提示，而是代理取得檔案、命令列及網路等工具後，各層防護對可信操作的判斷不一致。

案例分析

Claude Code

在Claude Code案例中，研究人員先利用允許執行的Git操作繞過安全檢查，在執行環境執行任意程式碼。Anthropic修補後，研究人員又找到讀取環境機密及利用公開服務帶出API金鑰的方法，其中最後一項問題編為CVE-2026-54316，Anthropic已將Claude Code對huggingface.co的預先允許存取範圍限縮至文件路徑。

Gemini CLI

Gemini CLI的問題則出現在命令限制與行程隔離。工作流程表面上只允許少數命令，但實際執行時沒有完整套用限制，而另一方面，系統雖從代理啟動的子行程移除GitHub權杖及Gemini API金鑰，親代行程仍保留這些資料，攻擊者因而有機會從同一執行環境讀取。Google將相關安全問題評為CVSS 10.0，並修改非互動式自動執行環境的信任機制。

Codex

Codex案例則利用兩次代理執行共用同一工作區，第一個Codex若受到惡意內容影響，可寫入Codex會自動讀取的AGENTS.md專案指令檔，而第二個Codex啟動後再把這份檔案當成指令載入，使第一階段的惡意影響延續到下一階段。OpenAI後來將兩次Codex執行拆到不同工作環境，避免前一階段留下的檔案影響後續代理，並進一步採用唯讀沙箱。

未來展望

這些發現凸顯了AI程式開發代理的安全性問題，攻擊者可以透過 GitHub 惡意內容影響代理執行，造成嚴重後果。因此，開發者和使用者必須注意這些風險，並採取適當的安全措施，例如使用沙箱隔離、限制工具權限和共享工作區等。同時，研究人員也指出，超過百個公開儲存庫發現類似AI代理自動化配置，顯示這類問題的普遍性和嚴重性。因此，未來我們需要更加關注AI程式開發代理的安全性問題，共同努力保護我們的程式碼和資料。