как да предотвратя инжектирането на sql от тази заявка?

Когато заместителят е цитиран, това не е заместител, това е буквалната стойност. Опитайте по следния начин:

$a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like :name',
                      array(":name"=> '%' . $_GET['name'] . '%')
                      );

Понастоящем драйверът автоматично добавя двоеточия, но може и да не е в бъдеще, най-добре е името да съответства на заместителя.