GitHub Copilot Autofix 在 Snowflake 引入严重 CI/CD 注入漏洞

Wiz Research 的 autonomous Red Agent 在 Snowflake 的一个公开仓库中发现并利用了一个 GitHub Actions 脚本注入漏洞，该漏洞由五天前 GitHub Copilot Autofix 联合署名的提交引入。该缺陷允许任何未经认证的 GitHub 用户通过精心构造恶意 issue 标题在 Actions runner 中执行任意命令，最终导致泄露了可用于访问 Snowflake 内部 Jira 实例的令牌。这一事件暴露了一个关键的信任鸿沟：AI 辅助的代码审查和 AI 生成的修复可以引入严重的安全漏洞，同时又无法检测到它们。

阅读 Grid the Grey 上的完整技术深度分析：https://gridthegrey.com/posts/github-copilot-autofix-introduced-ci-cd-injection-in-snowflake/

如需进一步行动，你可以考虑屏蔽此人或举报滥用行为

我们是一个让程序员分享、保持最新和职业成长的平台。