AI-Generated GitHub Copilot “Autofix” Allowed Compromise of Snowflake's Jira

摘要

Wiz 研究团队通过 Snowflake 的 HackerOne 漏洞披露计划，用其自主 AI 安全研究工具 Red Agent 在 snowflake-connector-net 仓库中发现一个 GitHub Actions 工作流脚本注入漏洞。该漏洞由 AI 辅助的 Copilot Autofix 在 2026 年 6 月 18 日的提交中引入，它移除了原先通过 env 变量和 jq 构建 JSON 的安全模式，改为直接拼接 issue 标题到 shell 脚本。任何用户可通过构造特殊标题的 issue 触发任意命令执行，Red Agent 在首次利用失败后自主调整 payload 成功窃取了 Jira 凭据，获得 Snowflake 内部 Jira 的读权限。Snowflake 在 6 月 23 日当天完成修复并轮换凭据，审计日志确认仅 Wiz 在暴露窗口期内访问。文章还总结了 AI 代码生成需严格审查、自动化发现缩短响应窗口、以及需防止 AI 助手移除安全模式等要点。