微軟揭露 Anthropic Claude Code 提示注入漏洞，可致 CI/CD 憑證外洩

Claude Code GitHub Actions 可讓 AI 代理在軟體開發流程中回應指令並操作程式碼；若觸發者身分與權限檢查不嚴，攻擊者可能藉惡意內容誘導代理讀取 GitHub 權杖等敏感資訊，進而危及程式碼庫與自動化部署環境，因此修補攸關供應鏈安全。

Anthropic 已在 Claude Code v1.0.94 修補 GitHub App 觸發者檢查不嚴造成的權限繞過，並強化設定與防護機制，以降低權杖外洩風險。現有資料未揭露漏洞公告及修補的確切日期，也未提及受影響機構數、外洩金額或已遭利用的案例。

Claude Code 是 Anthropic 推出的 AI 開發助理，可直接讀取專案檔案、執行指令並串接開發環境，因此一旦信任邊界失守，可能危及原始碼及身分憑證。資安業者 Check Point 發現其專案設定與沙箱機制存在漏洞，凸顯 AI 程式工具執行外部內容時的供應鏈風險。

Check Point 最新揭露，攻擊者可將惡意設定檔植入專案，在使用者以 Claude Code 開啟後觸發遠端程式碼執行（RCE），並竊取 API 金鑰；另有兩項沙箱繞過漏洞存在近半年。Anthropic 已完成修補，但未主動公開細節引發研究人員批評，並建議使用者升級至 2.0.65 以上版本。

Anthropic 推出的 Claude Chrome 延伸套件可代替使用者操作網頁，因而能接觸分頁內容與敏感資料。資安公司 LayerX 將其設計缺陷命名為 ClaudeBleed，指出無須特殊權限的惡意套件也可能跨越信任界限、挾持 AI 代理程式，凸顯瀏覽器 AI 工具擴權後的資安風險。

截至 2026 年 7 月 20 日，Anthropic 已發布修補版本，但 LayerX 測試發現 1.0.70 版仍未根除底層設計問題，攻擊者仍可能藉惡意 Chrome 套件操控 Claude 並外洩資料。相關資訊未揭露受害人數、損失金額及修補發布日期，使用者仍應限制套件權限並檢查安裝來源。

Anthropic 的 Claude Code 是可讀寫程式碼、串接外部工具的 AI 開發代理；MCP（模型上下文協定）則負責連結資料與服務。OAuth 令牌若外洩，攻擊者可沿用開發者權限，繞過密碼及多因素驗證並竄改 GitHub 儲存庫，使風險從單一裝置擴散為軟體供應鏈攻擊。

資安業者 Mitiga 於 2026 年 5 月 8 日揭露，Claude Code 將 MCP 設定及 OAuth 令牌明文存於 ~/.claude.json。惡意 NPM 套件可透過 postinstall 腳本改寫伺服器位址與信任旗標，把流量導向攻擊者代理，竊取可重複使用及自動更新的令牌；Anthropic 則認為攻擊須先取得本機執行權限，未納入修補。

傳統靜態分析多依賴既有規則，容易漏掉商業邏輯或存取控制等脈絡型漏洞。Anthropic以Claude理解整個程式庫，企圖把資安審查嵌入開發流程；若企業縮減既有工具支出，CrowdStrike、Palo Alto Networks等平台商的估值與金融機構採購決策都可能受影響。

2026年2月20日，Anthropic向企業客戶推出Claude Code Security限量研究預覽，售價未公布，開源維護者可免費申請；Claude Opus 4.6已找出逾500項漏洞。2月23日，CrowdStrike、Datadog與Zscaler約跌11%，Fortinet與Okta約跌6%，Palo Alto Networks跌3%。

AI 代理程式能自主讀取郵件、呼叫工具與執行工作流程，因此一旦遭提示注入，風險不只限於錯誤回答，還可能擴及企業系統。研究人員點名 Anthropic Claude、Google Gemini 與 Microsoft Copilot，顯示三大平台共同面臨代理權限與資料隔離不足的資安挑戰。

截至2026年7月20日，最新揭露指出，攻擊者可把惡意指令藏在代理程式會讀取的內容中，誘使其外洩 API 金鑰及其他敏感資料。專家建議企業比照員工帳號管理 AI 代理，採最小權限、分級授權與持續監控；目前相關報導未公布損失金額或受害規模。

資安產業長期仰賴規則式靜態分析與人工審查，但前者難捕捉商業邏輯、存取控制等情境型漏洞，後者又受限於專業人力。Anthropic把大型語言模型導入找漏洞與擬定修補程式，意味防禦可從事後偵測提前到開發階段，也讓市場重新評估傳統資安軟體的定價與競爭壁壘。

Anthropic於2026年2月20日推出Claude Code Security研究預覽，可掃描漏洞並提出須經人工核准的修補。2月23日，CrowdStrike、Datadog與Zscaler約跌11%，Fortinet與Okta約跌6%；CrowdStrike自發布起累跌18%，市值蒸發約200億美元。

OpenAI Codex 可連結 GitHub 儲存庫並代替開發者讀取程式碼、執行任務，因此會接觸具權限的存取權杖。BeyondTrust 指出，若系統未妥善區隔不受信任的儲存庫資料，攻擊者即可利用指令注入，將開發流程轉化為憑證外洩管道。

BeyondTrust 研究人員揭露，攻擊者可把惡意指令藏入 GitHub 分支名稱，誘使 Codex 執行指令並竊取用戶的 GitHub 存取權杖。受影響範圍包括 ChatGPT 網頁版的 Codex 整合及相關 SDK；OpenAI 接獲通報後，已於 2026 年 2 月完成修補。

Anthropic 的 Claude Chrome 延伸套件可讀取網頁內容並協助執行瀏覽器任務，但也讓不受信任的網站文字可能被 AI 誤判為指令。資安公司 Koi Security 將這類零點擊提示注入手法命名為 ShadowPrompt，凸顯具代理能力的 AI 助理面臨的新型資安風險。

Koi Security 最新揭露，攻擊者可在惡意網站植入隱藏提示，使用者無須點擊或輸入內容，Claude 就可能遭暗中操控並偏離原定任務。Anthropic 已於 2025 年底完成漏洞修補；目前公開報導未提及確切修補日期、受害人數或相關財務損失。

傳統靜態分析多依賴既有規則，容易漏掉跨元件資料流、商業邏輯與存取控制缺陷；資安人力又難以消化龐大漏洞待辦。Anthropic 因此將 Claude 的程式碼推理能力導入防禦流程，讓 AI 掃描、驗證並提出補丁，但修補仍須由開發者核准。

Anthropic 於 2026 年 2 月 20 日推出 Claude Code Security 研究預覽，由 Claude Opus 4.6 掃描、驗證並提出補丁，已找出逾 500 個開源專案漏洞。5 月 27 日公司再公開六階段參考工作流；截至 5 月 22 日，揭露 1,596 個漏洞，其中 97 個已修補。