GitLab 的 Duo Claude 智能体可能会在 CI 中运行任意命令。但尚无人证明它已被实际利用。

GitLab 于 2026 年 8 月 26 日发布了修复版本，以解决 Duo Claude AI agent 中的一项高危漏洞；该漏洞涉及基于 Claude 的 agent，GitLab 的公告将其置于 CI 环境中。该漏洞编号为 CVE-2026-18252，它允许持有 Developer 角色的已认证用户在 CI 作业内执行任意命令，因为该 agent 处理了来自用户可控来源的配置，却未验证其来源。GitLab 在 CVSS 3.1 量表上将其评为 7.3，并将受影响范围限定为 GitLab Enterprise Edition：18.9 至但不包括 19.1.7、19.2 至 19.2.5，以及 19.3 至 19.3.1。GitLab.com 已运行修补后的代码，GitLab Dedicated 客户被告知无需采取任何操作。本文所查阅的任何来源均未报告有人利用该漏洞，开放来源中也尚未发布任何概念验证。该档案中关于此事件的条目及其严重性与置信度评级位于 Orca AI Incident Archive中，并与同一周的其他相邻记录并列。

这份公告说了什么，又略去了什么

主文档很短。GitLab 同日发布的 19.3.1、19.2.5 和 19.1.7 补丁版本说明列出了七项安全修复。第一项标记为 High（高危），标题为“Duo Claude AI 代理中来自不受信任控制域的功能引入问题影响 GitLab EE”，其正文描述仅有一句话。GitLab 表示，它“已修复了一个问题：在某些条件下，拥有开发者角色权限的已认证用户本可在 CI 环境中执行任意命令，原因是 Claude 代理会处理来自用户控制来源的配置。”这就是该厂商发布的全部技术描述。

由 GitLab 自身分配的 CVE 记录增加的是结构，而非实质内容。它将这一弱点归类为 CWE-829，重复了受影响范围与 CVSS 7.3 评分，并记录该标识符于 2026 年 7 月 29 日预留、于 8 月 26 日 13:36 UTC 发布。GitLab 致谢的漏洞赏金报告，即 HackerOne 报告 3863650，在 2026 年 10 月 29 日对未认证抓取返回了 403，因此其技术细节并未公开；而 CVE 记录作为参考链接的跟踪项——gitlab-org/gitlab 工作项 607342——在该次核查中没有可读的问题内容。

公告没有说明的内容，恰恰是防御者想要知道的部分。它没有指出所涉及的 Duo 功能、代理所读取的配置字段，也没有说明用户可控来源的形式——究竟是仓库文件、流水线变量、议题或合并请求评论，还是 API 参数。这些内容在 GitLab 的说明、CVE 记录，以及本文所查阅的行业报道中均未提及。不过，GitLab 的产品文档确实描述了一条 Claude 进入 CI 的途径：外部代理。文档称，外部代理在议题、史诗或合并请求中被提及时会运行 CI/CD 流水线，并且存在一个 Claude Code 配置示例。但在所查阅的资料中，没有任何内容将这条途径与 CVE-2026-18252 关联起来。它只是解释 Claude 代理为何会拥有 CI 权限的背景信息，而非该漏洞的机制。

同一份文档对这一风险类别直言不讳。GitLab 的外部代理页面将提示注入漏洞列为客户启用该功能后所接受的风险之一，并将其实施的第三方提示扫描描述为一种缓解措施。该页面并未提及 CVE-2026-18252，且该警告并非对其的描述。它确实表明，不可信输入到达具有流水线访问权限的代理，是 GitLab 自身文档已要求客户接受的一项风险。

CI 上下文就是凭据所在的位置。

体现严重性的说法是“在 CI 环境中”。流水线作业并非玩具沙箱；它会凭运行器令牌以及项目向其暴露的任何机密来运行。Cyber Security News 在 2026 年 8 月 27 日报道该补丁时，列出了此类作业通常可触及的内容——源代码、构建产物、部署凭据、云令牌和包仓库凭据——并指出，流水线中的命令执行可能泄露 CI 变量、篡改构建产物、干扰发布工作流，或根据运行器配置和令牌范围进一步深入相连基础设施。GBHackers 同日的报道采用了相同表述框架。两家媒体均未报道发生此类情况的案例。

这一区分决定了应如何解读该缺陷。这是智能体组件中的一个命令执行漏洞，而非模型行为不当的演示：记录描述的是从用户控制的来源获取配置，并由智能体据此采取行动。所审查的任何来源都未将该漏洞利用描述为成功的提示注入，且 GitLab 的公告从未将结果归因于模型判断。记录的弱点是代码信任了它不应信任的配置来源——CWE-829，从不信任控制域包含功能。

两个 CVSS 分数和一个交互步骤

GitLab 的 7.3 分并不是该标识符关联的唯一评分。在同一份 NVD 记录中，NIST 的主要评估为 8.1。这两个向量除一个组成部分外完全相同：GitLab 将用户交互标记为必需，而 NIST 没有。两个评分都落在 High 区间，因此实际差异与其说在于严重程度，不如说在于漏洞触发的条件。CERT Santé 是法国卫生部的计算机应急响应团队，于 2026 年 8 月 27 日发布了一份警报，其判断遵循 GitLab 的解读——7.3 分、需要用户交互，并将触发条件描述为一种会启动配置处理的交互。

漏洞利用信号十分平静，而且每一个信号都是对记录内容的解读，而非遥测数据。CISA 的协调员角色于 2026 年 8 月 26 日存入 NVD 条目的 SSVC 评估记录显示，利用状态为“none”，可自动化利用为“no”，技术影响为“total”。FIRST 的 EPSS 模型于 2026 年 10 月 28 日将利用概率定为 0.00519，略高于 0.5%，在已评分漏洞中处于第 44 百分位。OpenCVE 的记录载有相同的 EPSS 数值，并将该 CVE 列为未收录于 CISA 的 Known Exploited Vulnerabilities 目录。CERT Santé 的警报记录为“actively exploited: no”，并补充称截至该日期，公开来源中不存在任何概念验证。这些都不能证明没有人尝试过；它只说明没有任何已记录的尝试。

至少有一家聚合器 Mallory 针对同一标识符传播了一个 8.7 的评分。NVD 的记录中完全没有 CVSS 4.0 指标——只有 GitLab 的 7.3 和 NIST 的 8.1——因此该数值无法从所审查的任何第一方来源复现，本文亦不予采用。

什么是已确立的，什么不是

档案馆将这一条目评定为置信度 A，无争议，且未记录任何实际损害。这一评级在这里确有实际作用：各份文件彼此一致，且没有一份描述损害。下面的分歧，是一句话摘要无法承载的部分。

• 已确认：Duo Claude AI 代理中的一个漏洞使已认证的 Developer 角色能够在 CI 环境中执行任意命令，因为该代理处理了来自用户可控来源的配置。GitLab 为其分配了 CWE-829 和 CVSS 7.3。

• 已确认：受影响范围和修复版本——18.9 至 19.1.7、19.2 至 19.2.5、19.3 至 19.3.1，已于 2026 年 8 月 26 日在 19.1.7、19.2.5 和 19.3.1 中修补。该漏洞记录针对 GitLab EE；同一版本还修补了 CE，但针对的是另一个不同的缺陷。

• 已确认：通过 GitLab 的 HackerOne 项目向 thwin_htet 给予报告者致谢，以及 GitLab 向客户提供的运行状态——GitLab.com 已修补，GitLab Dedicated 不在所需操作范围内，自管理安装被告知立即升级。

• 已确认：未报告任何利用情况。CISA 的 SSVC 评估显示为“无”；EPSS 截至 2026 年 10 月下旬一直低于 1%；据 OpenCVE，该 CVE 未列入 KEV 目录；CERT Santé 记录显示，披露后次日未发现活跃利用。

• 由供应商归因，但未经其确认：这些影响描述——机密可读、制品可改、发布可被篡改——是相关报道对 CI 作业令牌作用域通常所允许范围的描述，而非认定本案中已发生其中任何一项。Cyber Security News 和 GBHackers 均以“可能”和“取决于”来表述；两家均未报道实际发生的实例。

• 未确定：涉及哪个 Duo 功能、哪个配置字段，以及用户控制的源实际上是什么。供应商的声明并未指明这些内容。

• 尚未确定：有多少自托管的企业版部署位于受影响范围内、有多少在 2026 年 8 月 26 日之后进行了升级，以及是否有任何部署遭到攻击。所审查的任何来源均未衡量采用情况，且供应商未针对延迟修补的实例发布任何检测方法。

• 尚未确定：技术机制。按照 GitLab 的 90 天规则，该议题将在 2026 年 11 月下旬前后公开；在此之前，所链接的跟踪项只是一个指针，指向一份尚未公开的说明。

修复、停机时间和 90 天的等待

GitLab于2026年8月26日为社区版和企业版发布了19.3.1、19.2.5和19.1.7，并表示强烈建议所有自托管安装立即升级到上述任一版本。此次发布中社区版部分之所以重要，是因为同一批次的另一个漏洞——CVE-2026-77801，一个存在于导入流水线中的拒绝服务漏洞，评分为6.5——同时影响CE和EE。CVE-2026-18252本身仅记录为影响企业版。

不存在供应商提供的变通方案。CERT Santé 的警报指出不存在任何变通方案，GitLab 的说明也未提供任何变通方案；唯一给出的补救措施是升级。该版本也并非可直接替换。它在全部三个版本上都包含常规数据库迁移，并在 19.3.1 和 19.2.5 上包含部署后迁移；GitLab 表示，在单节点安装中，迁移完成期间会导致停机。多节点部署可以使用 GitLab 的零停机升级流程。

其余六项修复值得一看，因为其中一项与本条目的主题相近。CVE-2026-15387 的评分为 4.3，并在相同的三个版本中修复；它允许具有开发者角色权限的已认证用户通过不当处理作业依赖关系，影响 Pipeline Execution Policy 强制执行作业的执行环境。同一补丁还关闭了两条进入作业执行的开发者角色路径，其中一条评级为 High，另一条评级为 Medium。

GitLab 的披露政策解释了该机制为何始终不透明。其补丁说明指出，详述每个漏洞的议题会在修复该漏洞的版本发布 90 天后，于议题跟踪器上公开。从 2026 年 8 月 26 日算起，这将 CVE-2026-18252 的技术说明定在 2026 年 11 月的最后一周。在此之前，CVE 记录中的跟踪器引用背后并没有本文可阅读的公开技术说明。

这相对于 GitLab 的其他 agent 缺陷处于什么位置

GitLab 于 2026 年 10 月 2 日披露了第二个独立的、与 agent 相关的漏洞：CVE-2026-90970，评分 9.9，位于 AI Gateway 而非 Duo Claude AI agent 中，可通过精心构造的 flow prompt 模板触达，而非通过 CI 配置。这两个是不同组件中的不同漏洞，评分也不同，归档中将其作为独立条目保存。它们的共同点是形态——交付路径中的 AI 组件会依据低权限用户可影响的配置行事——这正是为什么 10 月的那个漏洞值得与本文这一个并列阅读，而不是取而代之。

对运维人员来说，可选的决定空间很窄。核对版本：19.1.7、19.2.5 和 19.3.1 是修复后的版本，而三个指定版本区间内的任何版本都受影响。其间没有可用的临时缓解措施，而且在 11 月下旬之前，也没有公开发布的技术说明，可供对照审计一个延迟打补丁的实例。现有的只是一份记录，其中没有人报告过漏洞已被利用——这只是一份关于证据缺失的陈述，而不是厂商保证未发生入侵。