У всіх ШІ-агентів для програмування виявилася небезпечна вразливість — шкідливий код запускається без участі користувача

Експерти в галузі кібербезпеки зі стартапу Air, що займається розробкою агентів штучного інтелекту, виявили вразливість, яка дозволяє виконувати довільний код без участі користувача і стосується всіх основних застосунків ШІ-агентів для написання коду: Anthropic Claude Code, OpenAI Codex, Google Gemini CLI, а також Microsoft Copilot і Microsoft GitHub Copilot. Вразливість відкриває потенційним зловмисникам доступ до всіх ресурсів і даних, які доступні цим агентам.

Джерело зображення: Boitumelo / unsplash.com

Експлойт отримав назву Plugin4Shell — це «перша в своєму роді атака на ланцюг постачання ШІ». Схема передбачає атаку не на саму модель або програмну оболонку ШІ-агента, а на довірені маркетплейси, де розміщуються плагіни для популярних засобів розробки на базі ШІ. Подібні атаки здатні торкнутися мільйонів користувачів і ПК. Вразливість пов'язана з реалізацією механізму прив'язки плагінів і навичок ШІ-агентів до хешу для маркетплейсів. Це зроблено, щоб запобігти атакам на ланцюг постачання: якщо публічний репозиторій виявляється скомпрометованим, ШІ-агент продовжує використовувати перевірений код з тим же хешем, який був зафіксований під час початкової прив'язки, і не завантажує новий шкідливий код автоматично.

Проблема в тому, що ШІ-агент завантажує той коміт, який вказує маркетплейс, але не перевіряє, чи міститься там спочатку закріплений за ним код. Контролюючий репозиторій плагіна зловмисник може підмінити будь-який код на шкідливий таким чином, що формально схема прив'язки до хешу дотримується. В результаті стає можливим віддалене виконання коду без будь-якої участі користувача — це реалізується через функцію автоматичного оновлення плагінів. Коли в початковому репозиторії відбувається підміна зафіксованого коміту, плагін агента замінюється шкідливою версією, і застосунки ШІ-агента автоматично його оновлюють.

Є два сценарії, при яких зловмисник може скористатися цим недоліком. У першому варіанті він завантажує безпечний плагін на довірений маркетплейс, плагін проходить перевірку, після чого його вміст підмінюється шкідливим кодом. Другий варіант передбачає захоплення репозиторію легітимного автора з подальшою відправкою шкідливої версШІ всім ШІ-агентам, у яких встановлений цей плагін — це, по суті, обхід механізму захисту прив'язки до хешу, покликаного запобігати подібним атакам на ланцюг постачання.

Anthropic повідомила, що усунула вразливість у версії Claude Code 2.1.179, OpenAI — у Codex 0.146.0. Google відмовилася вносити виправлення в Gemini CLI, підтримка якого припинена у зв'язку з переходом до Antigravity — він захищений від атак подібного типу. У GitHub заявили: «Щоб запобігти зловживанню хешами комітів, GitHub не дозволяє користувачам створювати імена гілок або тегів, схожі на хеші комітів — ця міра захисту гарантує, що цю вразливість неможливо експлуатувати на GitHub». Але цієї міри недостатньо, заявили в Air, оскільки маркетплейси можуть розміщуватися на інших платформах. У Microsoft на повідомлення дослідників про виявлення вразливості не відреагували.

Хочеш дізнатися більше — читай відгуки