Clinejection攻击：利用AI提示注入破坏GitHub Actions发布流程
Simon Willison2026/03/06 10:39机翻/自动摘要/自动分类
2 阅读
内容评分
技术含量
8/10
营销水分
3/10
摘要
Clinejection攻击利用GitHub Actions中AI分类器的提示注入漏洞，通过污染缓存机制窃取NPM发布密钥，暴露AI驱动自动化流程的安全隐患。攻击者借助问题标题注入恶意代码，结合npm预安装脚本实现代码执行，影响项目发布安全。该案例为AI安全研究和开源项目开发提供了重要参考。
正文
安全研究员Adnan Khan发现针对Cline项目的攻击链，攻击者通过在GitHub仓库问题标题中注入恶意代码，利用其AI驱动的问题分类系统anthropics/claude-code-action@v1实现命令注入。该工具配置允许执行Bash、Read、Write等操作，而问题标题本身可包含可执行命令。攻击者通过npm install的preinstall脚本漏洞，结合GitHub Actions缓存机制，使用自研工具cacheract向缓存文件注入数据。由于Cline的issue分类流程与夜间发布流程共享缓存键（${{ runner.os }}-npm-${{ hashFiles('package-lock.json') }}），攻击者成功污染缓存并窃取NPM发布密钥。尽管攻击者仅在撤回的cline@2.3.0版本中植入OpenClaw安装代码，未实施更危险操作，但该案例揭示了AI驱动自动化工作流的潜在安全风险。