Ευπάθειες σε Claude Code, Gemini CLI και Codex επέτρεπαν σε ένα GitHub issue να αγγίξει τα μυστικά (secrets) του CI/CD
Στο Black Hat USA, η Novee Security παρουσίασε πώς ένα GitHub issue από λογαριασμό χωρίς δικαιώματα στο repository αρκούσε για να εκτελεστεί κώδικας στους CI runners πίσω από τα δικά τους coding-agent repositories της Anthropic και της Google, ενώ στο αντίστοιχο της OpenAI αρκούσε για να «κλαπεί» το επόμενο run του agent. Προέκυψαν δύο CVE (CVSS έως 10.0 στο Gemini CLI), και οι τρεις προμηθευτές διόρθωσαν τα ευρήματα, αλλά η κοινή αιτία σε όλες τις περιπτώσεις ήταν αδυναμίες στο «harness» (τον κώδικα γύρω από το μοντέλο) και όχι στο ίδιο το μοντέλο AI. Δείχνει πόσο εύκολα μπορεί να παρακαμφθεί η προεπιλεγμένη ασφάλεια σε AI coding agents που τρέχουν σε αυτοματοποιημένα CI/CD pipelines.
Πηγές
Η περίληψη συντάχθηκε αυτόματα με AI από τις δημόσιες πηγές που αναφέρονται παραπάνω και ελέγχθηκε από ανεξάρτητο AI ελεγκτή πριν δημοσιευτεί. Για όλες τις λεπτομέρειες, διάβασε την αρχική πηγή.