Университетские хакеры взломали Claude, Gemini и Copilot, а IT-гиганты промолчали: почему ваш код в опасности
Хакеры научились похищать API-ключи через ИИ-агентов в GitHub Actions
Специалисты по безопасности из Университета Джонса Хопкинса совершили успешный взлом популярных ИИ-агентов, встроенных в рабочие процессы GitHub Actions. Группа под руководством Аонана Гуана продемонстрировала, что, внедряя вредоносные инструкции прямо в заголовки pull-запросов или комментарии к задачам, можно заставить эти инструменты выполнять произвольные команды и похищать конфиденциальные данные.
Метод атаки, получивший название «Comment and Control», использует тот факт, что ИИ-агенты автоматически считывают и обрабатывают пользовательский контент в GitHub, не всегда отличая легитимные указания от злонамеренных.
Первой целью исследователей стал агент Claude Code Security Review от Anthropic. Гуан обнаружил, что система обрабатывает заголовки pull-запросов как часть контекста, что позволило ему выполнить команду whoami и получить результат в виде ответа. Впоследствии он продемонстрировал возможность кражи более чувствительных данных, таких как API-ключи. Компания выплатила вознаграждение в размере 100 долларов и повысила уровень критичности уязвимости до 9,4, добавив в документацию предупреждение о том, что инструмент не защищен от инъекций и должен использоваться только для доверенных запросов.
При тестировании агента Google Gemini команда применила схожую тактику, добавив фальшивый раздел «доверенного контента» в комментарии к задаче. Это позволило переопределить инструкции безопасности модели и заставить ее опубликовать ключ GEMINI_API_KEY в открытом доступе. Google оценила находку в 1337 долларов. Наиболее сложной целью оказался автономный ИИ-помощник GitHub Copilot от Microsoft, обладающий многоуровневой системой защиты. Исследователям пришлось использовать скрытые HTML-комментарии, невидимые для человека, чтобы передать вредоносные инструкции при назначении задачи агенту. Хотя Microsoft изначально назвала проблему известной, в итоге выплатила 500 долларов.
Несмотря на выплату вознаграждений, ни одна из компаний-разработчиков не опубликовала официальных рекомендаций для широкой аудитории и не присвоила уязвимостям идентификаторы CVE. По мнению Аонана Гуана, такое замалчивание крайне опасно, так как разработчики, продолжающие использовать уязвимые версии ПО, могут никогда не узнать о существующей угрозе кражи их учетных данных.
Ранее сообщалось, что студент потерял доступ к iPhone после исчезновения символа на клавиатуре.
