{"id":1080,"date":"2026-06-04T15:50:53","date_gmt":"2026-06-04T15:50:53","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/04\/la-falla-de-accion-de-claude-code-github-permitio-que-un-problema-malicioso-secuestrara-los-repositorios-cyberdefensa-mx\/"},"modified":"2026-06-04T15:50:53","modified_gmt":"2026-06-04T15:50:53","slug":"la-falla-de-accion-de-claude-code-github-permitio-que-un-problema-malicioso-secuestrara-los-repositorios-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/04\/la-falla-de-accion-de-claude-code-github-permitio-que-un-problema-malicioso-secuestrara-los-repositorios-cyberdefensa-mx\/","title":{"rendered":"La falla de acci\u00f3n de Claude Code GitHub permiti\u00f3 que un problema malicioso secuestrara los repositorios \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Un investigador de seguridad encontr\u00f3 una falla en Claude Code GitHub Action de Anthropic que permit\u00eda a un atacante hacerse cargo de los repositorios p\u00fablicos vulnerables que lo ejecutaban, con nada m\u00e1s que un \u00fanico problema de GitHub abierto. Debido a que el propio repositorio de acciones de Anthropic utiliz\u00f3 el mismo flujo de trabajo, un ataque funcional podr\u00eda haber introducido c\u00f3digo malicioso en la acci\u00f3n misma y en los proyectos posteriores que la ejecutan.<\/p>\n

RyotaK de GMO Flatt Seguridad reportado<\/a> el desv\u00edo central a Anthropic en enero, y Anthropic Lo solucion\u00e9 en cuatro d\u00edas.<\/a>con mayor endurecimiento durante la primavera; las correcciones est\u00e1n en claude-code-action v1.0.94. Anthropic calific\u00f3 los problemas con 7.8 en CVSS v4.0 y pag\u00f3 una recompensa por errores.<\/p>\n

Claude Code GitHub Actions coloca a Claude en canales de CI\/CD para clasificar problemas, colocar etiquetas, revisar solicitudes de extracci\u00f3n o ejecutar comandos de barra diagonal. De forma predeterminada, el flujo de trabajo obtiene acceso de lectura y escritura al c\u00f3digo, los problemas, las solicitudes de extracci\u00f3n, las discusiones y los archivos de flujo de trabajo de un repositorio. Debido a que esos permisos son amplios, se supone que la acci\u00f3n debe ser exigente en cuanto a qui\u00e9n puede activarla: s\u00f3lo los usuarios con acceso de escritura.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El control del gatillo ten\u00eda un agujero. Salud\u00f3 a cualquier actor cuyo nombre terminara en [bot]asumiendo que las GitHub Apps son cosas confiables que instalan los administradores. El problema es que cualquiera puede registrar una aplicaci\u00f3n GitHub, instalarla en un repositorio de su propiedad y usar su token para abrir una incidencia o una solicitud de extracci\u00f3n en cualquier repositorio p\u00fablico. La acci\u00f3n detect\u00f3 \u00abun robot\u00bb y dej\u00f3 pasar el contenido del atacante. El modo Etiqueta ten\u00eda una verificaci\u00f3n adicional para confirmar que el actor era un ser humano real; el modo agente no lo hizo, lo que lo dej\u00f3 abierto.<\/p>\n

A partir de ah\u00ed, el atacante se apoya en la inyecci\u00f3n indirecta, el truco de colocar instrucciones dentro del contenido que lee una IA para que el modelo las siga en lugar de su tarea real. RyotaK escribi\u00f3 un problema cuyo cuerpo parec\u00eda un mensaje de error, luego refin\u00f3 el mensaje hasta que Claude se \u00abrecuper\u00f3\u00bb ejecutando los comandos ocultos en \u00e9l. El objetivo es \/proc\/self\/environ, el archivo de Linux que contiene las variables de entorno de un proceso, incluidos los secretos. Claude Code bloquea las lecturas ingenuas, pero RyotaK evita la guardia de todos modos y consigue que Claude vuelva a escribir los valores en el problema, donde el atacante puede capturarlos.<\/p>\n

El verdadero premio en esas variables es el par de credenciales que GitHub Actions usa para solicitar un token OIDC, un token firmado que demuestra \u00abSoy este flujo de trabajo ejecut\u00e1ndose en este repositorio\u00bb. Claude Code intercambia ese token con el backend de Anthropic por un token de instalaci\u00f3n de la aplicaci\u00f3n Claude GitHub con acceso de escritura. Roba esas credenciales, reproduce el intercambio y tendr\u00e1s acceso de escritura al c\u00f3digo, los problemas y los flujos de trabajo del objetivo. Apunte al repositorio claude-code-action y podr\u00eda envenenar la acci\u00f3n que realizan los proyectos posteriores.<\/p>\n

\"\"<\/a><\/div>\n

RyotaK tambi\u00e9n marc\u00f3 una ruta m\u00e1s suave que omiti\u00f3 por completo el truco del bot. El propio flujo de trabajo de ejemplo de clasificaci\u00f3n de problemas de Anthropic se incluye con Allow_non_write_users: \u00ab*\u00bb, que permite que cualquiera lo active, una configuraci\u00f3n que los documentos de Anthropic ya marcan como riesgosa. Peor a\u00fan, Claude estaba publicando res\u00famenes de tareas en el panel de resumen visible p\u00fablicamente de la ejecuci\u00f3n del flujo de trabajo, una forma lista para filtrar datos. Muchos repositorios copiaron ese ejemplo y heredaron el agujero.<\/p>\n

Tambi\u00e9n hay un camino para un atacante que puede editar problemas pero no puede activar Claude por s\u00ed solo: editar el problema de un usuario confiable despu\u00e9s de haber activado el flujo de trabajo, pero antes de que Claude lo lea y la carga \u00fatil se instale como entrada \u00abconfiable\u00bb.<\/p>\n

\u00bfQu\u00e9 hacer? Actualice a claude-code-action v1.0.94 o posterior. Luego audite cualquier flujo de trabajo que permita a los usuarios sin acceso de escritura o bots activar Claude: si est\u00e1 recibiendo entradas que no son de confianza, no le proporcione ning\u00fan secreto m\u00e1s all\u00e1 de la clave API de Anthropic y GITHUB_TOKEN, y elimine las herramientas y permisos que puedan usarse para la exfiltraci\u00f3n.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Nada de esto es te\u00f3rico. La misma configuraci\u00f3n, un sistema de clasificaci\u00f3n de problemas de IA m\u00e1s permisos amplios e inyecci\u00f3n r\u00e1pida, ya caus\u00f3 un verdadero impacto en la cadena de suministro:<\/p>\n

    \n
  • En febrero, un t\u00edtulo de problema inyectado r\u00e1pidamente contra el flujo de trabajo de clasificaci\u00f3n de acciones de c\u00f3digo claude de Cline permiti\u00f3 a los atacantes robar un token de publicaci\u00f3n npm y enviar un cline@2.3.0 no autorizado. La versi\u00f3n maliciosa solo instal\u00f3 a la fuerza un agente de IA independiente y no malicioso y fue retirada unas ocho horas despu\u00e9s, pero la misma cadena podr\u00eda haber enviado malware real con la misma facilidad a todos los que actualizaron.<\/li>\n
  • El robot aut\u00f3nomo \u00abHackerBot-Claw\u00bb pas\u00f3 a finales de febrero investigando configuraciones err\u00f3neas de GitHub Actions en proyectos de Microsoft, Datadog, CNCF y otros, aunque cuando intent\u00f3 inyectar r\u00e1pidamente a un revisor basado en Claude a trav\u00e9s de un archivo de configuraci\u00f3n envenenado, Claude lo detect\u00f3 y se neg\u00f3.<\/li>\n<\/ul>\n

    No hay ninguna se\u00f1al p\u00fablica de que este camino exacto, el que envenena la propia acci\u00f3n de Anthropic, se haya utilizado contra un objetivo vivo; RyotaK lo demostr\u00f3 s\u00f3lo en sus propios repositorios de prueba, y tiene cuidado de separarlo de las variantes anteriores que s\u00ed fueron explotadas.<\/p>\n

    RyotaK dice que ahora ha informado alrededor de 50 formas distintas de eludir el sistema de permisos de Claude Code y ejecutar comandos, parte de una serie constante de fallas de inyecci\u00f3n r\u00e1pida en agentes de codificaci\u00f3n de IA. La inyecci\u00f3n r\u00e1pida todav\u00eda no est\u00e1 resuelta, y un agente con herramientas y tokens reales puede ser empujado hasta donde sus permisos lo permitan.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Un investigador de seguridad encontr\u00f3 una falla en Claude Code GitHub Action de Anthropic que permit\u00eda a un atacante hacerse cargo de los repositorios p\u00fablicos vulnerables que lo ejecutaban, con nada m\u00e1s que un \u00fanico problema de GitHub abierto. Debido a que el propio repositorio de acciones de Anthropic utiliz\u00f3 el mismo flujo de trabajo, […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[1492,16,1046,24,263,931,52,41,1304,2642,55,2378],"class_list":["post-1080","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-accion","tag-claude","tag-code","tag-cyberdefensa-mx","tag-falla","tag-github","tag-los","tag-malicioso","tag-permitio","tag-problema","tag-repositorios","tag-secuestrara"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1080","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1080"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1080\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1080"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1080"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1080"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}