Google gỡ 3 workflow AI ADK sau lỗ hổng GitHub
"Google removed three AI agent workflows (issue-analyze.yml, issue-fix.yml, and pr-analyze.yml) from its ADK Python repository after Pillar Security discovered a prompt injection vulnerability. This allowed manipulation of a triage agent to trigger a privileged code-fixing agent, potentially leading to arbitrary code execution and credential theft (PAT, API key, service account). The issue stemmed from insufficient authorization checks and overly permissive capabilities within the CI/CD pipeline."
Lỗ hổng này cho phép thực thi code từ xa và đánh cắp thông tin xác thực, có thể dẫn đến mất dữ liệu hoặc tấn công chuỗi cung ứng phần mềm.
Các doanh nghiệp sử dụng ADK có thể gặp rủi ro về mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín do lỗ hổng này. Việc khắc phục cần đánh giá lại cấu hình bảo mật và cập nhật quy trình CI/CD.
Google đã gỡ ba workflow AI (issue-analyze.yml, issue-fix.yml, và pr-analyze.yml) khỏi kho ADK Python sau khi Pillar Security phát hiện lỗ hổng prompt injection. Lỗ hổng này cho phép thao túng một agent phân loại để kích hoạt một agent sửa code đặc quyền, có khả năng dẫn đến thực thi code tùy ý và đánh cắp thông tin xác thực (PAT, API key, service account).
Vấn đề bắt nguồn từ việc kiểm tra ủy quyền không đầy đủ và các khả năng quá rộng trong pipeline CI/CD. Pillar Security cho thấy một issue công khai có thể bị chèn prompt, khiến bot adk-bot đăng bài lên /adk-issue-fix. Vì bot này là collaborator, nên comment này đáp ứng yêu cầu về quyền sở hữu, thành viên hoặc collaborator của workflow đặc quyền.
Nhóm nghiên cứu đã chứng minh khả năng thực thi code tùy ý trên runner CI và lấy cắp PAT của bot. Job đặc quyền này cũng nắm giữ Google API key và service account Google Cloud. Các cuộc tấn công proof-of-concept do họ kiểm soát không phát hiện việc khai thác trong thực tế hoặc một bản phát hành ADK bị xâm phạm. Lỗ hổng nằm ở tự động hóa kho lưu trữ, không phải lỗi trong gói ADK Python được phân phối. Pillar Security khuyến nghị sử dụng các bot identity riêng biệt, phạm vi token và công cụ hẹp hơn, và một tín hiệu ủy quyền không thể bị tạo ra bởi văn bản không đáng tin cậy cho các kho lưu trữ tương tự. Google đã xóa các workflow này vào ngày 9 tháng 6 năm 2026.
Câu hỏi thường gặp
Lỗ hổng này ảnh hưởng đến những workflow nào?
Ba workflow bị ảnh hưởng là issue-analyze.yml, issue-fix.yml và pr-analyze.yml trong kho ADK Python của Google. Google đã gỡ bỏ chúng vào ngày 9 tháng 6 năm 2026.
Lỗ hổng này hoạt động như thế nào?
Lỗ hổng cho phép kẻ tấn công chèn prompt vào một issue công khai, thao túng một agent phân loại để kích hoạt một agent sửa code đặc quyền. Điều này có thể dẫn đến thực thi code tùy ý và đánh cắp thông tin xác thực.
Google đã làm gì để khắc phục lỗ hổng?
Google đã gỡ bỏ ba workflow bị ảnh hưởng khỏi kho ADK Python. Pillar Security xác nhận các workflow đã bị xóa vào ngày 2 tháng 7 và Google xác nhận sự cố đã được khắc phục vào ngày 21 tháng 7.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này cho thấy tầm quan trọng của việc kiểm soát quyền truy cập nghiêm ngặt trong các pipeline CI/CD sử dụng AI. Các doanh nghiệp Việt Nam sử dụng ADK hoặc các framework tương tự nên xem xét lại cấu hình quyền của bot và các agent tự động hóa. Điều đáng chú ý là việc khai thác lỗ hổng có thể dẫn đến việc lộ thông tin xác thực quan trọng, gây hậu quả nghiêm trọng cho bảo mật.