TL;DR
Exploatering: Manifold Security visade att förfalskad Git-författarmetadata kunde övertyga ett Claude-drivet arbetsflöde att godkänna skadlig kod. Grundorsak: GitHub-dokumentationen visar att osignerade författaresträngar inte är verifierade identiteter och bör inte styra förtroendebeslut. Varför det spelar roll: Alla GitHub Actions-kodningsagenter med breda behörigheter kan ärva samma risk när godkännanden kringgår mänsklig tillsyn.
Manifold Security delade denna vecka hur Anthropics Claude godkände en skadlig pull-begäran efter att ett arbetsflöde behandlade osignerad Git-författarmetadata som bevis på att ändringen kom från en betrodd underhållare. För team som förlitar sig på AI-granskningsrobotar för att hålla pull-förfrågningar i rörelse, gjorde demonstrationen en rutinmässig förtroendegenväg till en direkt väg för fientlig kod.
Denna varningen sträcker sig längre än en labbinställning. I samma rapport för trusted developer identity, sa Manifold att arbetsflödet accepterade och slog samman pull-begäran och att en GitHub-sökning hittade mer än 12 400 offentliga arbetsflödesfiler som hänvisar till, claudely-koden refererar till, kopieras.
Anthropics gh pr review–approve och gh pr merge, och auto-approved den skadliga hjälpfilen
, begärde en skadlig hjälp.
. den skadliga SKILL.md-filen i.vscode utformades för att läsa en utvecklares.env-fil och skicka den till en angriparkontrollerad Cloudflare Worker-slutpunkt.
Manifold sammanfattade den låga ansträngningsinställningen så här:
“Vi förfalskade identiteten för ett välkänt AI-kommando, ingen configden-exploatör, med hjälp av två välkända git no configden. inga komplicerade verktyg. Bara en känd funktion av hur Git hanterar författarskap, nu beväpnad mot AI-kodgranskare.”
Manifold Security, säkerhetsforskare (via Manifold Security som exploaterar en annan lag än vad som exploateras)
Varför Git-metadata inte är identitetssäker
Manifold inramade incidenten som inte en Git-sårbarhet. I riktiga granskningspipelines kan underhållare använda organisationsmedlemskap, tidigare bidrag eller underhållarlistor för att minska flaskhalsar för pull-begäran, men dessa genvägar bevisar fortfarande inte vem som skapade en ändring.
GitHubs vägledning säger osignerade commits har ingen verifieringsstatus, och reserverar Verifierade och Partiellt verifierade etiketter för kryptografiskt kontrollerbara signaturer. GitHub låter också administratörer kräva signerade commits på skyddade grenar så osignerade ändringar inte kan passera som betrodd härkomst.
Gits signeringskontroller existerar just för att verifiera härkomsten separat från vilken författaresträng en commit än deklarerar. Som Manifold uttryckte det,”Det är det. Ingen identitetsstöld. Ingen kontokompromiss. Git litar på vad du än säger till den.”
För underhållare finns den farliga genvägen utanför modellen. När arkivpolicyn låter en förfalskningsbar författarsträng stå för identitet kan en AI-granskare följa instruktionerna perfekt och fortfarande godkänna dålig kod.
Varför risken sträcker sig utöver ett Claude Workflow
Manifold påpekar att kodningsagenter i GitHub Actions, inklusive Claude Gemini, C, Copilot, Codex, Codex och samma strukturell exponering när osignerad författaridentitet blir en förtroenderegel.
Anthropics arbetsflödesvägledning säger att den manuella installationen kan ge läs-och skrivbehörigheter för innehåll, problem och pull-förfrågningar samtidigt som användarna uppmanas att granska förslag innan de slås samman.
GitHubs förstärkande vägledning gör den bredare policyrisken explicit“ eller flödesblockering,
. all annan automatisering, för att skapa eller godkänna pull-förfrågningar kan vara en säkerhetsrisk om pull-begäran slås samman utan ordentlig tillsyn.”
GitHub Docs, Secure Use Reference (via Docs)
Denna varningen passar även in i närliggande täckning av ett brott mot GitHub Actions hemligheter förra året, där risken var hemlig exponering snarare än ett falskt granskningsgodkännande, men beroendet av GitHub Actions-förtroende var liknande.
För underhållare som redan lutar sig mot automatisering för att hantera dessa regler för pull-begäran, är nästa steg AI-förfrågningsassistans. Om osignerade författarsträngar fortfarande har godkännandekraft, kan ett förfalskat namn avslöja utvecklarens hemligheter, smyga in skadlig kod i delade beroenden och låta nedströmsanvändare absorbera skadan innan en mänsklig granskare fångar den.
