Nulinio paspaudimo spraga populiariausiuose AI programavimo įrankiuose leidžia vykdyti nuotolinį kodą

Ketvirtadienį „Air“, saugumo startuolio, besispecializuojančio įmonių AI sistemų apsaugoje, tyrėjai atskleidė nulinio paspaudimo (zero-click) nuotolinio kodo vykdymo pažeidžiamumą, paveikiantį visus pagrindinius AI programavimo įrankius. Spraga, pavadinta „Plugin4Shell“, apeina SHA susiejimo mechanizmą, kurį įrankiai naudoja įskiepiams susieti su patikrintu kodu, taip potencialiai suteikiant užpuolikams visišką prieigą prie kūrėjų kompiuterių ir visų išteklių, pasiekiamų per pažeistą įrankį.theregister+1

Kaip veikia ataka

Pažeidžiamumas nukreiptas į patikimas prekyvietes, kuriose talpinami įskiepiai „Anthropic“ „Claude Code“, „OpenAI“ „Codex“, „Google“ „Alphabet Inc.“ ↗ 0.78% „Gemini CLI“ ir „Microsoft“ ↘ 0.99% „Copilot“. Užuot tiesiogiai atakavus AI modelį, „Plugin4Shell“ išnaudoja spragą, kaip įrankiai tikrina įskiepių vientisumą. Įrankis patikrina tikslų „commit“, kurį prekyvietė yra susiejusi, tačiau niekada nepatvirtina, ar jis iš tikrųjų pateko į teisingą kodą, todėl užpuolikas, valdantis įskiepio saugyklą, gali įterpti kenkėjišką kodą, kol susiejimas atrodo nepažeistas.air+1

Kadangi įrankiai automatiškai atnaujina įdiegtus įskiepius, atakai nereikia jokio vartotojo veiksmo. „Rezultatas yra nulinio paspaudimo nuotolinio kodo vykdymas“, – savo ataskaitoje rašė „Air“ tyrėjai Or Nevo, Dor Granat ir Niv Hoffman. Tyrėjai aprašė du atakos kelius: nekenksmingo įskiepio pateikimą, kuris praeina prekyvietės patikrą prieš pakeičiant jį kenkėjišku kodu, arba teisėto autoriaus saugyklos užgrobimą, siekiant išplatinti kenkėjišką versiją visiems įrankiams, kuriuose įdiegtas šis įskiepis.theregister+1

Taisymas lieka nebaigtas

„Air“ apie pažeidžiamumą visiems keturiems tiekėjams pranešė birželio mėnesį. „Anthropic“ ir „OpenAI“ jį ištaisė atitinkamai „Claude Code 2.1.179“ ir „Codex 0.146.0“ versijose. „Google“, nutraukusi „Gemini CLI“ palaikymą, pranešė „Air“, kad pataisos neišleis, o vietoj to nukreipė vartotojus į savo naujesnę „Antigravity“ agentinę kūrimo aplinką.theregister

„Microsoft“ neištaisė „Copilot“. „GitHub“ atstovas spaudai „The Register“ teigė, kad „GitHub“ esamos kontrolės priemonės, neleidžiančios vartotojams kurti šakų ar žymų pavadinimų, panašių į „commit SHA“, apsaugo nuo išnaudojimo jų platformoje. „Air“ tyrėjai su tuo nesutiko, pažymėdami, kad prekyvietės taip pat gali būti talpinamos platformose, tokiose kaip „Bitbucket“ („Atlassian Corporation“ ↘ 16.15%), kur tokių apsaugos priemonių nėra, todėl „Copilot“ lieka pažeidžiamas.theregister

Augantis atakų paviršius

Šis atskleidimas papildo didėjančią saugumo problemų seriją, susijusią su AI programavimo įrankiais. „Microsoft“ duomenimis, beveik 90 procentų „Fortune 500“ įmonių naudoja „Copilot“. Ankstesni tyrimai, pristatyti „Black Hat 2026“ konferencijoje rugpjūčio mėnesį, atskirai parodė, kad „Anthropic“, „Google“ ir „OpenAI“ AI programavimo įrankiai yra pažeidžiami „prompt injection“ atakoms, leidžiančioms pavogti kredencialus ir kompromituoti tiekimo grandinę.esecurityplanet+1

„Pataisa turi būti įdiegta įrankyje, o atnaujinimas yra vienintelė visapusiška apsaugos priemonė, kur ji egzistuoja“, – rašė „Air“ tyrėjai.theregister