このクエリからのSQLインジェクションを防ぐ方法は？

プレースホルダーが引用されている場合、それはプレースホルダーではなく、リテラル値です。この方法で試してください：

$a = Model::model()->findAllBySql(
                      'SELECT * FROM table WHERE name like :name',
                      array(":name"=> '%' . $_GET['name'] . '%')
                      );

ドライバーは現在、コロンを自動追加しますが、将来的には自動追加されない可能性があります。名前をプレースホルダーと一致させるのが最適です。