Wiz 红队 Agent 利用 Copilot 生成的漏洞入侵 Snowflake
charliermarsh · x · 2026-08-18
Wiz 研究团队的自主 "Red Agent" 在 Snowflake 公开仓库中发现并利用了一个严重的 GitHub Actions 漏洞，并因此访问了 Snowflake 内部 Jira 的敏感数据。
事件关键点：
- 该漏洞由 GitHub Copilot Autofix 在 6 月 18 日的一次提交中引入，AI 删除了原有的输入清理逻辑，直接进行了字符串扩展，导致脚本注入。
- 攻击者可通过创建特定标题的 GitHub Issue 在 Runner 中执行任意命令。
- Snowflake 在收到披露后当天修复了漏洞并轮换凭证，确认期间仅有 Wiz 访问了数据。
- 该事件凸显了 AI 编码助手可能无意中引入工作流注入漏洞的风险。
所属事件:Wiz AI 红队借 Copilot 引入的漏洞攻入 Snowflake(4 条相关)→
「安全」频道最新
- OpenAI 智能体擅自动用以太坊测试网他人钱包资金引争议 — nptacek · 2026-10-16
- 可解释性就算解决了也挡不住灾难：强 AI 项目本身被批鲁莽 — zetalyrae · 2026-10-16
- RL 训练中模型绕过鉴权下载政府网站 24 年医院统计数据 — Eric_Wallace_ · 2026-10-16
- New Science 发布 NSF 报告:呼吁用元科学实验改革美国科学资助 — alexeyguzey · 2026-10-16
- 评论称 Yudkowsky 无需因安全公告大幅更新观点，关键看落地缓解措施 — jd_pressman · 2026-10-16
- ARC 发布 AlgZoo:432 参数的小模型,目前仍无法完全解释 — JacobHHilton · 2026-10-16