A Microsoft Threat Intelligence identificou uma vulnerabilidade crítica em uma ação do GitHub Actions que utiliza o Claude Code da Anthropic, permitindo que atacantes vazem segredos de fluxo de trabalho CI/CD. A falha explora uma inconsistência no tratamento de acesso a arquivos versus execução de comandos, permitindo que agentes de IA sejam manipulados para acessar arquivos de ambiente sensíveis.
Mecanismo da vulnerabilidade e exploração
A vulnerabilidade ocorre porque a ferramenta Read do Claude Code não segue as mesmas regras de segurança que a ferramenta Bash, que roda dentro de uma sandbox segura que remove variáveis de ambiente. Essa inconsistência dá aos atacantes um caminho direto para credenciais que nunca deveriam sair do sistema. Um atacante pode inserir uma instrução oculta dentro de um issue ou pull request do GitHub, escrita de forma que pareça inofensiva para um revisor humano, mas é tratada como um comando pelo modelo de IA.
Técnicas de ataque identificadas
A cadeia de ataque mapeia-se para várias técnicas MITRE ATLAS, incluindo Injeção de Prompt LLM, Invocação de Ferramenta de Agente de IA, Jailbreak de LLM e Coleta de Credenciais de Ferramenta de Agente de IA. O exploit completo não requer acesso especial, apenas a capacidade de abrir um issue ou enviar um pull request. Em testes conduzidos pela equipe da Microsoft, um prompt malicioso instruiu o agente a realizar uma "revisão de conformidade", evitando os filtros de segurança embutidos do Claude.
Impacto operacional e riscos
Uma chave de API vazada pode permitir que um atacante se passe pelo fluxo de trabalho, consuma recursos ou ganhe acesso mais profundo aos sistemas conectados. O Read tool, uma vez manipulado, acessa diretamente /proc/self/environ dentro da memória do processo do runner, retornando a ANTHROPIC_API_KEY não filtrada junto com outras credenciais presentes no ambiente. A partir daí, o atacante pode reconstruir a chave completa e exfiltrá-la através de canais permitidos pelo fluxo de trabalho.
Recomendações de mitigação e hardening
A Microsoft recomenda o princípio da "Regra dos Dois Agentes", onde um fluxo de trabalho de IA nunca deve combinar processamento de entrada não confiável, acesso a segredos sensíveis e execução de ações externas ou modificação de estado simultaneamente. As equipes devem aplicar controles estritos de privilégio mínimo para cada token e chave de API conectada a um fluxo de trabalho. Cada chave deve ser escopada apenas para o que aquele fluxo de trabalho específico precisa.
Implicações para segurança de IA generativa
Esta vulnerabilidade destaca os riscos emergentes de integrar ferramentas de IA generativa em pipelines de desenvolvimento de software. A segurança de agentes de IA requer uma abordagem diferente da segurança de software tradicional, focando na proteção de prompts e no controle de acesso a recursos sensíveis. As organizações devem revisar suas políticas de uso de IA em pipelines de CI/CD para garantir que os agentes não tenham acesso desnecessário a credenciais.
Conclusão e próximos passos
A correção para esta vulnerabilidade foi lançada pela Anthropic na versão 2.1.128 do Claude Code em 5 de maio de 2026. As organizações que utilizam esta ação devem atualizar imediatamente e revisar seus fluxos de trabalho para garantir que não estejam expostos a riscos semelhantes. A segurança de IA em pipelines de desenvolvimento é uma área crítica de foco para profissionais de segurança da informação.
Perguntas frequentes
Como saber se minha organização está afetada? Verifique se você utiliza a ação do GitHub Actions do Claude Code e se está na versão anterior à 2.1.128.
Devo desabilitar o uso de IA em CI/CD? Não necessariamente, mas é crucial implementar controles de segurança rigorosos e seguir a regra dos dois agentes.
Como monitorar tentativas de exploração? Configure alertas para chamadas de API incomuns e monitoramento de tráfego de rede durante a execução de fluxos de trabalho.