¿Cómo funciona este ataque de prompt injection en Claude Code?
Investigadores de seguridad descubrieron que el GitHub Action de Claude Code —la herramienta que Anthropic lanzó para automatizar revisiones de código y triage de issues— puede ser secuestrada con un solo issue malicioso. El ataque no requiere exploits complejos ni vulnerabilidades de infraestructura: basta con que un bot abra un issue en un repositorio público con un texto cuidadosamente redactado como si fuera un mensaje de error.
Cuando el GitHub Action de Claude Code procesa ese issue, el modelo interpreta el texto del atacante como instrucciones legítimas en lugar de contenido no confiable. El resultado: el agente ejecuta comandos arbitrarios, lee variables de entorno del runner —donde suelen estar las credenciales y secrets de CI/CD— y las escribe de vuelta en un comentario del mismo issue o en los logs de la acción. La exfiltración ocurre a través del propio GitHub.
¿Por qué es tan peligroso para tu startup?
Si tu startup usa Claude Code en GitHub Actions para revisar pull requests, responder issues o automatizar flujos de DevOps, este ataque puede comprometer todo tu pipeline. El impacto incluye:
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidad- Robo de credenciales de repositorios, servicios cloud o proveedores de despliegue almacenadas como secrets de GitHub Actions.
- Ejecución remota de comandos dentro del runner si el agente es manipulado para ejecutar herramientas del sistema.
- Resultados de revisión falsos que pueden engañar a tu equipo y abrir la puerta a código malicioso en producción.
- Riesgo en la cadena de suministro: si tu action se replica en múltiples repositorios, un solo ataque puede contaminar todo tu ecosistema.
StepSecurity, firma especializada en seguridad de CI/CD, documentó que Claude Code en GitHub Actions tiene acceso de red sin restricciones y puede lanzar múltiples procesos hijo, lo que amplifica el radio de daño si un atacante logra inyectar instrucciones maliciosas.
Anthropic ya respondió… pero la solución fue limitada
Anthropic confirmó la vulnerabilidad, la clasificó como crítica y pagó un bounty de US$100 a los investigadores que la reportaron, según reportó SecurityWeek. Sin embargo, la mitigación implementada fue mínima: la compañía solo eliminó el permiso para usar el comando ps dentro del agente, en lugar de aplicar un rediseño profundo de permisos con el principio de mínimo privilegio.
No solo Claude Code: Gemini CLI y Copilot también son vulnerables
El patrón de ataque no es exclusivo de Anthropic. Los mismos investigadores confirmaron que el vector de prompt injection funciona también contra: Google Gemini CLI Action y GitHub Copilot Agent.
Cómo proteger tu pipeline de CI/CD contra prompt injection
- Aplica el principio de mínimo privilegio.
- Trata todo el texto de GitHub como no confiable.
- Usa runners endurecidos como Harden-Runner.
- Separa las funciones de revisión y despliegue.
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidad
