本文介绍了 GitInject，一个用于评估现实世界中 CI/CD 流水线（特别是 GitHub Actions）中 AI 代理提示注入漏洞的开源框架。随着 AI 代理越来越多地被集成到 CI/CD 流水线中，用于自动审查拉取请求、分类问题和维护代码库，这些代理在处理不受信任内容的同时拥有较高的仓库权限，因此容易受到提示注入攻击，可能导致供应链安全风险。与以往模拟工具调用的代理安全基准不同，GitInject 通过创建临时仓库并触发实际工作流运行，使沙箱约束、凭证处理和权限边界完全模拟生产环境。利用 GitInject，作者测试了四个 AI 提供商的工作流配置，并记录了 11 种攻击类型，涵盖配置文件注入、凭证泄露、判断操纵和可用性攻击。研究发现，所有被测试的提供商在其默认配置下至少容易受到一种攻击类别的攻击，且最关键的结构性漏洞源于 CI/CD 基础设施如何处理凭证和配置文件，而非特定模型的行为。对于每种确认的攻击类别，作者识别了最小成本的工作流级缓解措施，并分析了其覆盖范围和局限性。GitInject 已公开发布，以促进该方向的进一步研究。本文适合对 AI 代理安全、CI/CD 流水线安全以及提示注入攻击感兴趣的读者。

该论文《Action Required: A Mixed-Methods Study of Security Practices in GitHub Actions》针对持续集成/持续部署（CI/CD）工作流中的安全问题，特别是GitHub Actions的安全实践进行了深入研究。研究采用混合方法：首先通过大规模实证分析，扫描公开仓库中GitHub Actions的使用模式，识别常见的不安全配置，例如硬编码密钥、不当的权限管理、未验证的外部输入等；其次，对开发者进行半结构化访谈，了解其安全意识、决策动机和面临的挑战。研究发现，许多安全问题的根源在于文档不清晰、缺乏默认安全的设计以及开发者对安全风险的认知不足。论文基于这些发现，提出了一套改进GitHub Actions安全性的建议，包括改进官方文档、提供安全模板、以及引入自动化安全检查工具。该研究为CI/CD安全领域提供了实证数据和人因分析，有助于平台维护者和安全团队理解实际中的安全薄弱环节。