文章摘要
Wiz研究团队通过AI安全工具“Red Agent”发现Snowflake公共仓库存在GitHub Actions工作流漏洞，该漏洞由AI编程助手Copilot的自动修复功能无意引入。攻击者可借GitHub issue执行任意命令。Snowflake在报告当天完成修复并轮换凭证。
文章总结
根据Wiz研究团队通过Snowflake的HackerOne漏洞披露项目进行的安全研究，其AI驱动的自主安全研究工具“Red Agent”在Snowflake的一个公共仓库中发现了一个关键的GitHub Actions工作流漏洞。该漏洞由AI编码助手GitHub Copilot的“自动修复”功能引入，于2026年6月18日通过一次提交将原有的安全输入模式替换为直接的字符串扩展，导致脚本注入风险。Red Agent在发现后自主分析了执行错误并调整攻击载荷，成功利用该漏洞获取了Snowflake内部Jira系统的访问凭证，获得了对工程、安全合规和漏洞赏金项目的读取权限。Snowflake在收到报告当天即修复了漏洞，轮换了受影响凭证，并通过审计日志确认仅Wiz在暴露窗口期内进行了访问。这一事件凸显了AI编码助手可能无意中引入工作流注入漏洞，以及自动化AI代理能迅速发现此类漏洞的现实。关键教训包括：AI生成的代码需要严格审查，安全运营必须适应自动化快速发现漏洞的环境，以及应防止AI代理替换安全的数据解析模式。
评论总结
根据评论内容，总结主要观点如下：
1. 事件本质：AI自动修复引入安全漏洞
- 评论指出，GitHub Copilot的自动修复功能将原本安全的env + jq方式替换为shell字符串，导致引号注入漏洞（评论11："The env + jq was there on purpose. Autofix swapped it for a string in a shell"）
- 漏洞源于标题中的单引号可逃逸echo '...'，实现任意命令执行（评论3："a single quote in the title breaks out of echo '...' and allows arbitrary command execution"）
2. 责任归属：自动化流程缺乏人工审查 - 多数评论认为根本问题在于Snowflake允许自动修复直接合并，而非AI本身（评论7："Snowflake allowing autofixes compromised their Jira... you shot yourself in the foot"） - 强调代码审查的重要性（评论2："Peer review of changes is still important"）
3. 条件判断逻辑缺陷
- 评论4指出防护条件if: (github.event_name == 'issues' && github.event.pull_request.user.login != 'whitesource-for-github-com[bot]')存在双重错误：pull_request在issues事件中始终为null，且即使生效也仅排除一个机器人（评论4："it wouldn't provide any protection at all"）
4. AI降低技术债务修复门槛的利弊 - 评论5认为AI使原本被搁置的微小改进得以执行，但代码生成不等于免费维护（评论5："Just because an agent can fix a minor tech debt annoyance... doesn't mean it should"）
5. YAML规范与工具链问题 - 评论6批评YAML的"人类可读"设计导致安全隐患（评论6："YAML is a nightmare fuel spec... countless footguns"） - 评论10建议使用静态分析工具（如zizmor）检测模板注入（评论10："Use zizmor in CI"）
6. 对事件描述的质疑 - 评论4怀疑事件描述本身是"LLM slop"（评论4："the writeup is LLM slop"） - 评论9指出漏洞相关PR的Copilot提交与漏洞无关（评论9："The first linked PR has only one commit co-authored by Copilot and it's not related to the vulnerability"）