Én GitHub-issue nådde CI-hemmelighetene i Claude Code og Gemini CLI

Novee Security kjørte angrepet mot Anthropics, Googles og OpenAIs egne kodeagent-repoer i det oppsettet hver leverandør sender med som standard, og la fram arbeidet på Black Hat USA 5. august. En GitHub-issue åpnet av en konto uten rettigheter i repoet holdt til å kjøre kode på CI-runnerne bak Anthropics og Googles repoer. Hos OpenAI holdt det til å kapre neste agentkjøring.

Gemini CLI bærer den alvorligste av de to. CVE-2026-12537 får CVSS 4-score 10.0 og er en OS-kommandoinjeksjon i container-starteren, nådd via en preparert .gemini/.env-fil. Den lar en angriper uten rettigheter kjøre kode på verten til en headless CI-plattform før sandkassen i det hele tatt starter. Fiksen ligger i Gemini CLI 0.39.1 og run-gemini-cli 0.1.22.

I Claude Code gjorde CVE-2026-54316 Hugging Faces offentlige nedlastingsteller om til en eksfiltreringskanal som lekket en API-nøkkel ett tegn av gangen. Alle utgivelser fra 0.2.54 til og med 2.1.163 er berørt, og 2.1.163 er fiksen. Anthropic sier utnyttelse krevde at uklarert innhold kom inn i en Claude Code-kontekst, og setter alvorligheten til Moderate med CVSS v4 6.0. NVD ga den 9.1 etter CVSS v3.1, men har ikke scoret den under v4, så de to tallene måler ikke det samme.

Det gjennomgående i alle tre var ikke at noen overtalte en modell. Feilen satt i kjørerammen, koden rundt modellen som avgjør hva som faktisk blir utført: én del merket en verdi som trygg, og en senere del handlet på den verdien med mer myndighet.

«Kjørerammen er koden mellom modellen og den virkelige verden» — Elad Meged, founding engineer i Novee Security

Novee fant at Claude Codes kommandovalidator stripper enkeltfnuttet tekst før de 23 sjekkene kjører, som er riktig oppførsel for bash. Dermed nådde en nyttelast i verdien til git push --receive-pack, et flagg git faktisk kjører, uberørt fram til runneren. Den kjeden har verken CVE eller offentlig oppgitt fikset versjon. Gemini CLI parset verktøy-allowlisten kun ved registrering av verktøyet; ved kjøretid håndhevet ingenting den, og under --yolo ble hver kommando modellen ba om godkjent automatisk. Googles rådgivning dekker begge, og sier at fiksen «affects all Gemini CLI GitHub Actions».

Codex-funnet er det uten versjon å installere. Novee fant at openai/codex-repoet kjørte to Codex-passeringer i én jobb som delte samme utsjekk, slik at første passering kunne skrive AGENTS.md, fila den andre laster som sine egne instruksjoner. OpenAI kjører nå passeringene i ulike jobber med drop-sudo og skrivebeskyttet sandkasse, og veiledningen lister nå instruksjonsfiler i repoet blant innhold som «should be considered part of the untrusted input surface».

CISA fører ingen utnyttelse på noen av postene, og The Hacker News bekreftet 7. august at ingen av dem står i katalogen over kjent utnyttede sårbarheter. Et offentlig GitHub-repo som kaller seg reproduksjonslab for Claude Code-hullet har ligget ute siden 18. juni, men ingenting i kildene viser at kjedene er brukt mot et mål.

Hva bør du gjøre?

1. Oppdater Claude Code til 2.1.163, Gemini CLI til 0.39.1 og run-gemini-cli til 0.1.22.
2. Gå gjennom hver workflow en utenforstående kan trigge. Angrepsflaten her er en issue eller pull request fra en konto uten rettigheter i repoet.
3. Behandle AGENTS.md, CLAUDE.md og andre instruksjonsfiler i repoet som uklarert inndata, og kjør agentsteget sist i jobben så det ikke etterlater filer til privilegerte steg.