Vulnerabilidad en Claude Code de GitHub: fuga de secretos en CI/CD

Microsoft ha revelado una vulnerabilidad en la automatización de GitHub de Claude Code, de Anthropic que podría provocar la filtración de secretos en procesos de CI/CD. Investigadores de Microsoft Threat Intelligence descubrieron que un atacante podría usar inyección de instrucciones para engañar al asistente y hacer que lea archivos sensibles del sistema con claves de API y otras credenciales.

La investigación surgió tras detectar intentos de ataque en repositorios públicos donde se utiliza IA para procesar incidencias de GitHub y automatizar flujos de trabajo. La inyección de instrucciones es especialmente peligrosa en estos casos: el atacante no necesita permiso para modificar el código del proyecto. Basta con dejar una incidencia de GitHub u otro texto que el bot lea para que el daño sea posible.

Microsoft pone un ejemplo con instrucciones ocultas dentro de comentarios HTML. En la interfaz normal de GitHub, esos fragmentos son invisibles para los usuarios, pero el modelo de IA, que lee el Markdown sin procesar, los reconoce. Así, un comando malicioso puede parecer una petición de funcionalidad inofensiva para los humanos, mientras que para la IA es una instrucción para ejecutar una acción en el repositorio o en el entorno de automatización.

Los investigadores confirmaron que este método funcionó contra el flujo de trabajo de Claude Code en GitHub. Aunque Anthropic ya había limitado algunas herramientas, como la de Bash para ejecutar comandos, Microsoft detectó que la herramienta de lectura de archivos no tenía las mismas restricciones. Esto permitió sortear la protección y acceder a datos que no deberían haber estado en la respuesta del modelo.

En la prueba de Microsoft, un payload de inyección de instrucciones especialmente diseñado logró burlar dos capas de protección y convencer al asistente de que leyera archivos del sistema con secretos. Este escenario es peligroso no solo para desarrolladores individuales, sino también para empresas que cada vez conectan más agentes de IA a repositorios, pipelines de compilación y herramientas internas.

Microsoft informó del hallazgo a Anthropic el 29 de abril. La corrección se publicó el 5 de mayo en la versión 2.1.128 de Claude Code. Anthropic restringió el acceso del programa a archivos sensibles del directorio /proc/ para evitar esa extracción de datos. Este caso demuestra que la automatización en el desarrollo no solo requiere herramientas cómodas, sino también un modelo de seguridad estricto: cualquier texto que el agente lea puede convertirse potencialmente en una orden.