חוקרים מראים כיצד ניתן לפתות סוכני קידוד של AI להריץ תוכנה זדונית ממאגרי GitHub שנראים נקיים
סוכני קידוד של AI עומדים בפני סיכון חדש בשרשרת האספקה
דוח חדש מרשת החקירות של יום‑אפס של Mozilla, או 0DIN, טוען שניתן להטעות כלי קידוד סוכניים כדי שיריצו מטענים זדוניים מתוך מאגרי GitHub שנראים תמימים גם לסורקים וגם לבודקי קוד אנושיים.
הדאגה אינה בתחום ה"עץ מקור מורעל" במובן הרגיל. בהדגמה של 0DIN, המאגר עצמו לא הכיל קוד זדוני בולט. במקום זאת, שרשרת ההתקיפה התגלגלה במהלך תהליך ההגדרה, כאשר נשאל Claude Code לשכפל ולהריץ את הפרויקט. התהליך הזה, לפי החוקרים, עלול להוביל ל-shell אינטראקטיבי במכונת המפתח ללא אישור של שום פקודה שנראתה חשודה במפורש.
0DIN תיארה את הפריצה כמתרחשת "בלי קוד ניצול, בלי אזהרה, בלי פקודה חשודה שמישהו היה צריך לאשר."
השיטה נשענת על שלושה מרכיבים נפרדים שלכל אחד מהם יש מראה תמימי אבל יחד הם יכולים לחקות טעות משתמש שכיחה, לגרום לשגיאה שהסוכן סומך עליה ולמשוך ערך שבסופו של דבר מפנה ליעד זדוני. התוצאה היא reverse shell שנמצא "במרחק של שלוש מדרגות העקפה" מכל דבר שה-AI למעשה העריך, לפי החוקרים.
"Claude Code מעולם לא החליט לפתוח shell. הוא החליט לתקן שגיאה. ה‑reverse shell נמצא בשלוש מדרגות עקיפה מכל דבר ש‑Claude Code העריך בפועל: הודעת שגיאה שהוא סמך עליה, סקריפט ששלף ערך, ורשומת DNS שהוא מעולם לא ראה," אמרו חוקרי 0DIN.
אם ההתקפה מצליחה, התוקף מקבל shell שפועל בהרשאות של המפתח, עם גישה למשתני סביבה, מפתחות API, קבצי תצורה מקומיים ואפשרות להתמידות.
0DIN אומרת שהטכניקה כיום קיימת כרעיון בלבד, אך הזהירה שהיא יכולה להיות מופצת בקלות דרך מודעות דרושים מזויפות, מדריכים, פוסטים בבלוג או הודעות ישירות.
כדי להפחית את הסיכון, הקבוצה ממליצה שסוכני AI יחשפו את שרשרת ההרצה המלאה לפקודות הגדרה, כולל סקריפטים וכל קוד שנשלף דינמית בזמן ריצה. חוקרים טוענים שראות כזו היא חיונית אם ארגונים רוצים לעצור התקפות בשרשרת אספקה שחומקות מעבר להגנות אוטומטיות וביקורת אנושית.
מקורות: