De har kidnappat agenter från Anthropic, Google och Microsoft för vetenskapens skull. Det slutade med att de tre företagen betalade

I vissa utvecklingsteam har det redan blivit vanligt att förlita sig på artificiell intelligensagenter för att granska incidenter, analysera kodändringar och gå igenom uppgifter som tidigare lämnats i mänskliga händer. Problemet uppstår när dessa system inte bara läser information som kan komma utifrån, utan också fungerar i utrymmen där känsliga nycklar, tokens och behörigheter samexisterar. Det är vad nyare forskning lägger på bordet: vi står inte bara inför ett användbart verktyg som kan göra misstag, utan snarare en arkitektur som också kan bli farlig om den används utan mycket tydliga gränser.

Larmet slogs av Aonan Guan och Johns Hopkins forskare Zhengyu Liu och Gavin Zhong efter att ha demonstrerat attacker mot tre agenter utplacerade på den tidigare nämnda plattformen: Claude Code Security Review, från Anthropic, Gemini CLI Action, från Google, och GitHub Copilot Agent, ett GitHub-verktyg under Microsoft. Enligt deras dokumentation rapporterades misslyckandena på ett samordnat sätt och slutade i ekonomiska belöningar från företagen, men det som är relevant är att de pekar på ett bredare problem. Så lyckades de vrida på agenterna inifrån.

Namnet som Guan ger till upptäckten hjälper mycket att förstå vad det här handlar om: "Kommentera och kontrollera." Tanken är enkel att förklara, även om substansen inte är så enkel. Istället för att sätta upp en extern infrastruktur för att styra attacken, fungerar GitHub själv som en ingångs- och utgångskanal: angriparen lämnar instruktionen i en titel, nummer eller kommentar, agenten bearbetar den som om den vore en del av normalt arbete och resultatet hamnar igen i samma miljö. Allt stannar hemma, och det är just det som är nyckeln till problemet.

Och att "allt stannar hemma" är inte en liten detalj, utan grunden för vad forskningen beskriver.

De tre agenterna delar en mycket liknande logik: de läser normalt innehåll från GitHub, införlivar det som en arbetskontext och utför därifrån åtgärder inom automatiserade flöden. Konflikten uppstår eftersom samma utrymme inte bara innehåller text som skickats av tredje part, utan också verktyg, behörigheter och hemligheter som agenten behöver för att hantera. Det första fallet Guan detaljer gäller Claude Code Security Review, en antropisk GitHub-åtgärd utformad för att granska kodändringar och leta efter möjliga säkerhetsbrister.

Fram till denna punkt är allt inom det förväntade. Problemet, som forskaren förklarar, är att det räckte med att införa skadliga instruktioner i titeln på en pull-begäran, vilket är den begäran som någon skickar för att föreslå ändringar i ett projekt, för att agenten ska utföra kommandon och returnera resultatet som om det vore en del av dess granskning. Teamet lyckades sedan gå ett steg längre och visa att det också kunde extrahera referenser från miljön.

Det intressanta är att samma schema också dök upp i de andra två tjänsterna, men med nyanser. Hos Google kunde Gemini CLI Action pressas för att avslöja GEMINI_API_KEY från instruktioner som smög sig in i ett problem och dess kommentarer; I GitHub Copilot Agent var varianten ännu mer oroande, eftersom attacken gömdes i en HTML-kommentar som en person inte såg på skärmen, men agenten bearbetade när en annan person tilldelade den till ärendet. I båda scenarierna var bakgrunden densamma igen: uppenbarligen normalt innehåll som slutade med att vrida systemets beteende tills det avslöjade autentiseringsuppgifter eller känslig information inom själva GitHub.

Guan försäkrar att mönstret gjorde det möjligt att läcka API-nycklar, GitHub-tokens och andra hemligheter exponerade i miljön där agenten körde, det vill säga bara de referenser som senare kan öppna dörren till mycket mer känsliga handlingar. Vem påverkar detta? Speciellt till arkiv som kör agenter i GitHub Actions på innehåll som skickats in av opålitliga samarbetspartners och dessutom ger dem tillgång till hemligheter eller kraftfulla verktyg.

Forskaren själv klargör att risken beror mycket på konfigurationen: som standard exponerar GitHub inte hemligheter för att dra förfrågningar från gafflar, men det finns installationer som öppnar den dörren. Och här dyker ytterligare ett lager av saken upp, mindre tekniskt men lika viktigt. Enligt The Register slutade Anthropic, Google och GitHub med att betala belöningar för fynden, men ingen av de tre hade publicerat offentliga meddelanden eller tilldelat CVE:er vid tidpunkten för den informationen.

Guan var ganska tydlig med detta: han sa att han "med säkerhet" visste att vissa användare fortfarande hade fastnat i sårbara versioner och varnade för att, utan synlig kommunikation, kanske många aldrig vet att de blev utsatta eller ens blivit attackerade. Så även om det förekom begränsningar och förändringar i dokumentationen eller i den interna behandlingen av rapporter, fanns det inget motsvarande offentligt meddelande för alla de potentiellt berörda. Anthropic avgjorde fallet den 25 november 2025 och betalade 100 dollar.

Google belönade upptäckten den 20 januari 2026 med $1 337. GitHub avslutade ärendet den 9 mars 2026 med en betalning på $500. Det som gör det här fallet särskilt känsligt är att GitHub inte verkar vara slutet på vägen, utan snarare det första synliga skyltfönstret.

Guan vidhåller att samma mönster troligtvis går att återskapa i andra agenter som arbetar med verktyg och hemligheter inom automatiska flöden och där nämner han allt från bots kopplade till Slack till Jira-agenter, mail eller deployment automation. Logiken är densamma igen: om systemet måste läsa externt innehåll för att göra sitt jobb och dessutom har tillräcklig tillgång för att agera, är fältet bördigt för någon att försöka vrida det inifrån. I Xataka, hur ofta ska vi ändra ALLA våra lösenord enligt tre cybersäkerhetsexperter?

Slutsatsen som Guan kommer fram till handlar inte om att sälja en magisk lösning, utan om att återgå till en ganska klassisk idé inom säkerhet: att ge varje system bara det som är nödvändigt för att göra sitt jobb. Om en agent granskar kod ska de inte ha tillgång till verktyg eller hemligheter de inte behöver; Om du bara sammanfattar problem, skulle det inte vara meningsfullt för dig att skriva till GitHub eller beröringskänsliga referenser. Det är därför den insisterar på att tänka på dessa distributioner med minsta privilegielogik och mycket stängda behörighetslistor.

Bilder | DC Studio | Aonan Guan i Xataka | AI är avgörande för den amerikanska militären. Så ni utser generallöjtnant till ledare för OpenAI och Palantir