【时间/地点/人物】
2026年4月18日，独立安全研究员关傲男联合约翰霍普金斯大学博士生研究员刘征宇、钟佳成，公开发布了一项跨越三家科技巨头的AI Agent安全研究成果。研究证实，Anthropic的Claude Code安全审查工具、Google的Gemini CLI GitHub Action，以及微软GitHub旗下的Copilot Agent，均存在同一类被命名为「评论与控制」(Comment and Control)的漏洞模式。
【事件详情】
攻击者仅需通过Pull Request标题、Issue评论或隐藏HTML注释，即可劫持这些AI Agent，窃取宿主仓库的API密钥和访问令牌。这是首次有研究团队在跨厂商范围内系统性演示这一攻击模式。三家公司均已确认漏洞存在并进行了修复，但截至发稿均未向用户发布正式的安全通告。
在Claude Code案例中，攻击者只需创建一个PR，在标题中嵌入精心构造的注入文本，即可突破Claude的提示词边界，指示其执行任意系统命令，包括读取ANTHROPIC_API_KEY和GITHUB_TOKEN等敏感凭证。Claude会将命令执行结果写入JSON响应，随后自动发布为PR评论。攻击者无需任何特殊权限，开一个PR即可完成窃取。
最令人警醒的案例来自GitHub Copilot Agent，该产品拥有超过2000万付费用户，覆盖《财富》100强中90%的企业。尽管部署了环境变量过滤、密钥扫描和网络防火墙三层防御，却依然被逐一击穿。攻击者通过在Issue中嵌入隐形HTML注释载荷，成功从MCP服务器进程中提取了GITHUB_TOKEN、GITHUB_COPILOT_API_TOKEN等四项关键凭证。
【背景】
这一攻击模式之所以能在三款产品中反复奏效，根源在于AI Agent与开源协作平台之间天然存在的信任关系。开发者赋予Agent读写仓库的权限，Agent从仓库中读取外部贡献者提交的内容并将其作为执行依据，而平台本身恰恰是任何外部用户都可以参与的空间。在这个信任链中，只要外部输入未被充分隔离，攻击就几乎不可避免。
【影响】
1. 数千万开发者面临风险：Claude Code、Gemini CLI和Copilot Agent被全球数千万开发者日常使用，覆盖《财富》百强中绝大多数企业
2. API密钥泄露危害严重：攻击者获得访问私有仓库、云基础设施乃至整个组织代码资产的权限
3. 厂商处理方式引发质疑：三家公司确认漏洞、修复代码、支付赏金，但均未发布安全通告或分配CVE编号
4. 同类产品可能广泛存在漏洞：同样的模式已在开源项目OpenCode（GitHub上约13.9万Star）中复现
【总结】
研究团队提出了务实的应对框架：将提示词注入视为针对机器的「网络钓鱼」，将AI Agent视为需要遵循最小权限原则的超级员工。核心措施包括采用白名单而非黑名单机制进行工具授权，以及严格按照功能边界控制凭证作用域。对开发者建议尽快将GitHub Actions中的AI Agent工具更新至最新版本，审查工作流权限配置，轮换可能暴露的API密钥和访问令牌。漏洞赏金合计1937美元——其中Anthropic支付100美元，Google支付1337美元，GitHub支付500美元——这组数字或许是当前AI安全生态最简洁的注脚。
【参考来源】
https://www.tmtpost.com/7956493.html
https://oddguan.com/
https://www.theregister.com/2026/04/15/claude_gemini_copilot_agents_hijacked/
https://oddguan.com/blog/comment-and-control-prompt-injection-credential-theft-claude-code-gemini-cli-github-copilot/
https://www.anthropic.com/
https://github.com/features/copilot
https://deepmind.google/