🇰🇷 한글 설명
nnU-Net의 GitHub Actions issue-triage 워크플로우에서 externally 제출된 이슈의 제목과 본문이 검증 없이 Claude Code 에이전트의 프롬프트에 직접 포함되어 공격자가 에이전트를 조종할 수 있습니다. 에이전트는 gh 명령어로 이슈에 댓글 작성 및 레이블 변경 권한을 가지므로 인증된 작업을 비정상적으로 수행하게 됩니다. 2.4.1 버전에서 수정됨.
💡 쉬운 설명
nnU-Net이 GitHub에서 자동으로 이슈를 처리할 때, 누구나 제출한 이슈로 AI 봇을 조종할 수 있습니다. 공격자가 특수하게 만든 이슈를 제출하면 봇이 의도하지 않은 명령을 실행합니다.
🇺🇸 원문 (English)
nnU-Net is a semantic segmentation framework that automatically adapts its pipeline to a dataset. Prior to 2.4.1, the nnU-Net Issue Triage workflow in .github/workflows/issue-triage.yml is vulnerable to Agentic Workflow Injection. The workflow sets allowed_non_write_users: ${{ github.event.issue.user.login }}, which means any logged-in GitHub user who opens an issue can reach this agentic workflow with attacker-controlled content. Untrusted issue title and body content are embedded directly into the prompt of anthropics/claude-code-action, and the workflow then runs a command-capable Claude agent with permission to comment on and relabel the current issue via gh. Because this workflow is triggered automatically on issues.opened, an external attacker can submit a crafted issue that steers the agent beyond its intended issue-triage purpose and influences authenticated issue actions. This vulnerability is fixed in 2.4.1.
📍 영향받는 시스템
nnU-Net 2.4.1 이전 버전
⚔️ 공격 벡터
공격자가 조작된 이슈 제목/본문을 제출하여 Claude 에이전트의 프롬프트를 주입하고 gh 명령 실행을 유도합니다.
🛡️ 대응 방법
nnU-Net을 2.4.1 이상으로 업그레이드하거나 .github/workflows/issue-triage.yml에서 allowed_non_write_users 설정을 제거합니다.
🔧 검증 코드
grep 결과가 없거나 '설정 없음'이 출력되면 안전합니다. allowed_non_write_users가 출력되면 워크플로우가 여전히 취약합니다.
grep -r 'allowed_non_write_users' .github/workflows/ 2>/dev/null || echo '설정 없음'