AI修复代码引入漏洞 智能体攻破Snowflake内网

时间：2026年8月17日，Wiz Research 公开披露完整技术细节；漏洞引入于 2026年6月18日，发现并修复于 2026年6月23日。 地点：美国，涉及 GitHub 公共仓库 snowflakedb/snowflake-connector-net 与 Snowflake 位于 snowflakecomputing.atlassian.net 的内部 Jira 系统。 人物与机构：云安全厂商 Wiz 及其自主 AI 安全研究工具 Red Agent、数据云公司 Snowflake、GitHub Advanced Security 旗下 Copilot Autofix 功能，事件通过 Snowflake 的 HackerOne 漏洞披露计划完成上报。 事件详情：Wiz 披露，一次由 GitHub Copilot Autofix 参与生成、并于 2026年6月18日通过 PR #1218 合并进 Snowflake 公开仓库的“安全修复”，实际上删除了原有的输入净化写法，把 GitHub Actions 工作流 jira_issue.yml 变成了可被远程利用的命令注入入口。原代码通过 env 变量传递 issue 标题、再用 jq --arg 构造 JSON，属于安全模式；改动后直接把 ${{ github.event.issue.title }} 插入 shell 脚本，并在模板展开之后才做 sed 转义，导致标题中的单引号可以跳出 echo 引号并执行任意命令。该工作流触发条件为 issues: opened，任何互联网上的 GitHub 账号都可无需授权触发。工作流中看似起保护作用的 if 判断（比较 github.event.pull_request.user.login）在 issues 事件下因该字段恒为 null 而永远为真，安全闸门形同虚设。漏洞上线仅 5 天，Wiz 的自主 AI 工具 Red Agent 在扫描 Snowflake 的 GitHub 组织时命中该工作流，构造以 issue 标题为载荷的攻击串，将 runner 环境中的 JIRA_API_TOKEN、JIRA_USER_EMAIL、JIRA_BASE_URL 做 base64 编码后通过 curl 带外回传。首次尝试用 # 注释符导致 bash 报语法错误，Red Agent 自主分析报错、改用 ; echo ' 闭合 shell 语句后二次成功，回调数秒内从一台 Azure IP 为 20.106.182.197 的 GitHub Actions runner 抵达监听端。窃得的令牌以 qa@snowflake.net 身份认证进入 Snowflake 的 Atlassian 实例，获得对工程、安全合规与漏洞赏金追踪项目的读取权限。 背景：Copilot Autofix 是 GitHub 面向代码扫描告警自动生成建议修复的功能，GitHub 官方文档明确其定位为“生成一条建议修复，由你自行审阅并应用”，人工审阅环节是最后防线。此次事故中，AI 生成的改动通过了人工合并，而 GitHub 自身的 AI 辅助安全审查也未标记出由该改动引入的严重漏洞——Wiz 在 8月17日 19:57 UTC 的更新中补充说明，Copilot 作为共同作者审查了合并的 PR 与代码改动并判定“无问题”，改动本身是否为 AI 生成尚不明确。 影响：Snowflake 在 6月23日收到报告当天即修复工作流（后续通过 PR #1402 落地），次日轮换受影响凭据，并依据详细审计日志确认曝露窗口期内 Wiz 是唯一访问方，Wiz 也确认概念验证阶段访问的数据均已安全删除。事件在 Hacker News 引发热议，相关讨论获得 257 分与 112 条评论。案例的警示意义在于：AI 编码代理既可能在“修复安全问题”的名义下引入更严重的漏洞，AI 安全代理也能在数天内自主发现并利用它——攻防两端同时进入自动化时代，人工代码审阅与 CI/CD 权限最小化的重要性反而上升。 总结：一次 AI 生成的“安全修复”打开了命令注入缺口，另一个 AI 智能体在 5 天内自主完成发现、绕错、利用并拿到 Snowflake 内部 Jira 读权限，成为 AI 参与软件供应链两端的标志性案例。 参考来源： 1. Wiz Research 官方披露：https://www.wiz.io/blog/red-agent-snowflake-copilot-cicd-bug 2. Unite.AI 技术复盘：https://www.unite.ai/copilot-autofix-opened-a-shell-injection-in-snowflakes-ci-cd-pipeline/ 3. Hacker News 讨论（257 分 / 112 评论）：https://news.ycombinator.com/item?id=49331423 4. 引入漏洞的 PR #1218：https://github.com/snowflakedb/snowflake-connector-net/pull/1218 5. 修复漏洞的 PR #1402：https://github.com/snowflakedb/snowflake-connector-net/pull/1402 6. GitHub 官方 Copilot Autofix 文档：https://docs.github.com/en/code-security/concepts/code-scanning/autofix-for-code-scanning 7. 受影响仓库 snowflakedb/snowflake-connector-net：https://github.com/snowflakedb/snowflake-connector-net