მავნე ვებგვერდმა GitHub Copilot CLI-ს საიდუმლოები შეიძლება გაამჟღავნებინოს

GitHub Copilot CLI-მ შესაძლოა დეველოპერის საიდუმლო მონაცემები გაამჟღავნოს, თუ შესაბამის მითითებებს წააწყდება. შედეგი მის საფუძვლად გამოყენებულ მოდელზეა დამოკიდებული.

წლის დასაწყისში მკვლევრებმა კოდის წერის აგენტში ირიბი მოთხოვნის ინექციის მიმართ მოწყვლადობა გამოავლინეს. ასეთი შეტევისას მოდელი მომხმარებლისგან დამოუკიდებელი წყაროდან მიღებულ ტექსტს ამუშავებს. ტექსტი მას ისეთი მოქმედების შესრულებას ავალებს, რომელიც მისი დანიშნულების ფარგლებს სცდება.

ახალი შემთხვევა მსგავსია, თუმცა ერთი თავისებურება აქვს. უსაფრთხოების მკვლევართა კომპანია Adversa AI-ის ცნობით, GitHub Copilot CLI-ს იგივე მოწყვლადობა აქვს, რომელიც ორი თვის წინ Grok-ში აღმოაჩინეს: კრიპტოგრაფიული კონტექსტის ინექცია (CCI).

წარმოიდგინეთ, რომ GitHub Copilot CLI-ის მომხმარებელი პროექტზე მუშაობს და აგენტს ავტოპილოტის რეჟიმში იყენებს. სხვა აგენტურ პროგრამირების ხელსაწყოებში, მაგალითად, Anthropic-ის Claude-ში, ეს ნაგულისხმევი რეჟიმია. GitHub Copilot CLI-ში კი მისი ჩართვა კვლავ მომხმარებლის არჩევანია.

შემდეგი პირობაა, რომ CLI-ის ხელსაწყომ მავნე მითითებების შემცველი ვებგვერდი წაიკითხოს. ეს მითითებები დაშიფრულია პირადი გასაღებით, რომელიც იმავე ვებგვერდზეა გამოქვეყნებული.

რონი უტევსკიმ (Rony Utevsky) The Register-ისთვის მიწოდებულ ბლოგპოსტში განმარტა: „სტატიკური დამცავი მექანიზმები ტექსტს კითხულობენ, მაგრამ არ ასრულებენ. CCI მავნე მითითებებს ძლიერი შიფრული ტექსტის სახით აწვდის, გასაღების მასალასა და გაშიფვრის მითითებასთან ერთად. შემდეგ ის აგენტს საკუთარ კოდის შესრულების გარემოში გაშიფვრისკენ უბიძგებს“.

მოდელის დასაცავად გამოყენებულმა აქტიური შიგთავსის კლასიფიკატორებმა შესაძლოა დამუშავებულ ტექსტში დაშიფრული კოდი ვერ შეამჩნიონ. განსხვავებული ვითარებაა base64-ის მსგავსი კოდირებისა და ჩანაცვლების შიფრების შემთხვევაში. მოდელს მათი გაშიფვრა შეუძლია, რადგან სწავლებისას შესაბამისი მეთოდები აითვისა.

შეტევის ჯაჭვი ასე მუშაობს: მომხმარებელი Copilot CLI-ს უშვებს და კონკრეტული მისამართიდან ინფორმაციის მიღებას სთხოვს. გვერდი დაშიფრულ შიგთავსს, Python-ის გამოყენებით გაშიფვრის მითითებებსა და ორ შესაძლო გასაღებს შეიცავს.

პირველი გასაღები ყალბია. ის შაბლონია, რომლის აგებასაც აგენტი დისკზე კონკრეტული ფაილების წაკითხვით ცდილობს, მაგალითად, მომხმარებლის .env ფაილიდან. შემდეგ საიდუმლო მონაცემები გასაღების სტრიქონს ემატება. აგენტი ამ ყალბი გასაღებით გაშიფვრას ცდილობს, მაგრამ მცდელობა წარუმატებლად სრულდება.

ამის შემდეგ აგენტი მეორე გასაღებს ცდის და შიგთავსს წარმატებით შიფრავს. მიღებული მითითებები მას დამატებითი კონტექსტისთვის სხვა მისამართიდან ინფორმაციის მიღებას ავალებს. თუმცა ეს მისამართი მოპოვებულ საიდუმლო მონაცემებს შეიცავს და ქსელური მოთხოვნა მათ თავდამსხმელს გადასცემს.