Krucha granica między kodem a bezpieczeństwem: Atak na Claude Code obnaża ryzyko AI w CI/CD
Wystarczy jeden złośliwy komentarz w serwisie GitHub, by wyciągnąć poufne dane z serca firmowej infrastruktury. Badacze z Microsoftu pokazali, że agenci AI, zamiast pilnować bezpieczeństwa, mogą stać się najsłabszym ogniwem łańcucha dostaw oprogramowania. Wykorzystując podatności w narzędziu Claude Code, udowodnili, że bariera między automatyzacją a katastrofą jest cieńsza, niż zakładali inżynierowie Anthropic.
To odkrycie to nie tylko ciekawostka techniczna, ale sygnał alarmowy dla branży DevOps. Incydenty wokół Claude Code pokazują, że systemy te stają się nowym frontem walki o bezpieczeństwo, a nie tylko zabawką do pisania skryptów. Presja na dostawców modeli rośnie, bo w ostatnich tygodniach pojawiły się zarówno ataki przez fałszywe instalatory, jak i luki pozwalające na zdalne wykonanie kodu, co stawia pod znakiem zapytania gotowość agentów do pracy w krytycznych środowiskach.
Problem prompt injection wkracza do fundamentów oprogramowania
Najnowsze odkrycia rzucają nowe światło na bezpieczeństwo autonomicznych systemów, takich jak Claude Code. Choć wpięcie sztucznej inteligencji bezpośrednio w procesy CI/CD miało skrócić czas pracy, incydent związany z luką w popularnym narzędziu GitHub Action udowadnia, że automatyzacja otwiera okno dla napastników. Wykorzystanie techniki prompt injection pozwoliło zmanipulować AI do kradzieży poświadczeń bezpośrednio z serwerów firmy.
Jak oszukać model w jego naturalnym środowisku
Mechanizm ataku zidentyfikowany przez Microsoft jest brutalnie prosty. Napastnik umieszcza złośliwe instrukcje tam, gdzie programista i tak zagląda: w zgłoszeniach (issues), komentarzach lub prośbach o zmianę kodu (pull requests). Claude Code, analizując te treści, traktował ukryte polecenia hakera jako prawowitą instrukcję do wykonania.
Badacze pominęli zabezpieczenia modelu Claude Sonnet, ukrywając złośliwy kod za domeną zewnętrzną. AI odczytała wrażliwe klucze API i hasła, a następnie przekształciła je tak, by ominęły wbudowane w GitHub skanery sekretów. Takie dane mogły bez przeszkód trafić na serwer atakującego za pomocą prostych komend powłoki. Co gorsza, podatności takie jak CVE-2026-21852 sprawiały, że zmienna ANTHROPIC_BASE_URL mogła wysłać klucz API dewelopera do napastnika jeszcze przed jakimkolwiek ostrzeżeniem dla użytkownika.
Wnioski dla branży i reakcja Anthropic
Dzięki programowi HackerOne podatność została załatana przez Anthropic jeszcze w maju, ale to tylko wierzchołek góry lodowej. Tylko w pierwszej połowie 2026 roku odnotowano próby kradzieży haseł przez fałszywe strony instalacyjne Claude Code, a kolejna luka w mechanizmie Hooks pozwalała na ciche uruchamianie poleceń powłoki już przy starcie sesji.
Niesławny wyciek ponad pół miliona linii kodu źródłowego Anthropic z marca bieżącego roku dodatkowo podbija wątpliwości: czy twórcy AI potrafią zabezpieczyć własne narzędzia? Środowiska CI/CD to magazyny krytycznych danych. Jak podaje serwis ITwiz, ataki na Claude Code wykorzystują naturalne zaufanie do elementów pracy programisty. Skoro agent AI ma dostęp do systemów produkcyjnych, każda nieprzefiltrowana treść z zewnątrz staje się bombą zegarową.
