Plugin4Shell-ის ხარვეზი AI კოდის აგენტებზე დისტანციურ შეტევას უშვებს

მკვლევრებმა დასძინეს: „Microsoft Copilot-იც კვლავ დაუცველია, რადგან ის ასეთი პლატფორმების სავაჭრო სივრცეებსაც უჭერს მხარს. ეს მას ხარვეზის წინაშე დაუცველს ტოვებს. Air-მა ამის შესახებ Microsoft-საც ივნისში შეატყობინა. სამწუხაროდ, კომპანიის მიერ მიღებული შეტყობინებების დიდი რაოდენობის გამო, მისგან პასუხი ვერ მივიღეთ“.

Microsoft-მა The Register-ის კომენტარის მოთხოვნას დაუყოვნებლივ არ უპასუხა.

უსაფრთხოების ხარვეზი აგენტების მიერ სავაჭრო პლატფორმების SHA-ზე მიბმის მექანიზმის აღსრულების წესშია. ეს მექანიზმი აგენტის გაფართოებებსა და შესაძლებლობებს კონკრეტულ, უცვლელ კომიტის ჰეშზე აბამს. ამგვარად, ისინი ვერსიის ტეგის ან განშტოების სახელის მსგავს ცვალებად მითითებას არ ეყრდნობიან.

მექანიზმის მიზანი მიწოდების ჯაჭვზე შეტევების თავიდან აცილებაა. თუ საჯარო შესაძლებლობების საცავი გატეხეს, ხელოვნური ინტელექტის აგენტი იმავე, შემოწმებული კოდის ჰეშის შესრულებას გააგრძელებს, რომელზეც ის მიაბეს. ის ახალ, მავნე კოდს ავტომატურად არ ჩამოტვირთავს.

მკვლევრები ხარვეზს „გაფართოების SHA-ზე მიბმის გვერდის ავლას“ უწოდებენ.

ნევომ, გრანატმა და ჰოფმანმა დაწერეს: „აგენტი ზუსტად იმ კომიტს ჩამოტვირთავს, რომელზეც სავაჭრო პლატფორმამ მიუთითა, თუმცა არასდროს ამოწმებს, ნამდვილად მიიღო თუ არა ის. ამიტომ თავდამსხმელს, რომელიც გაფართოების საცავს აკონტროლებს, შეუძლია ჩამოტვირთვის მოთხოვნა მავნე კოდზე მიმართოს, მიუხედავად იმისა, რომ მითითება შესრულებულად გამოიყურება. შედეგი ნულოვანი დაწკაპუნებით კოდის დისტანციური შესრულებაა“.

გაფართოებების ავტომატური განახლების ფუნქცია შეტევას ნულოვანი დაწკაპუნებით შესაძლებელს ხდის. თუ ზედა დონის საცავში მითითებული კომიტი ჩანაცვლდა, აგენტის გაფართოებაც მავნე ვერსიით იცვლება. Claude და Codex დაინსტალირებულ გაფართოებებს ნაგულისხმევად ავტომატურად აახლებენ.

მკვლევრების თქმით, თავდამსხმელს ამ ხარვეზის გამოყენება ორი გზით შეუძლია. პირველ შემთხვევაში, თავდამსხმელი სანდო სავაჭრო პლატფორმაზე უსაფრთხო გაფართოებას წარადგენს. გაფართოება შემოწმებას გადის, შემდეგ კი თავდამსხმელი მის უსაფრთხო შიგთავსს მავნე კოდით ცვლის.

მეორე შეტევა კანონიერი ავტორის საცავის ხელში ჩაგდებას გულისხმობს. შემდეგ თავდამსხმელი მავნე ვერსიას ყველა იმ აგენტს აწვდის, რომელზეც გაფართოება დაინსტალირებულია. ამგვარად, ის SHA-ზე მიბმის დამცავ მექანიზმს გვერდს უვლის, რომელიც სწორედ ასეთი შეტევის შესაჩერებლად არსებობს. გუნდმა მსგავსი ხელში ჩაგდება ადრინდელ საცდელ შეტევებში, SkillJacking-სა და RepoJacking-ში, აჩვენა.

მკვლევრებმა დაწერეს: „ამ ყველაფრით მთელი ჯაჭვი თავიდან ბოლომდე დადასტურდა: რესურსების ხელში ჩაგდება ფართო მასშტაბით ხდება, ხოლო Plugin4Shell მათ შესაკავებლად შექმნილ მექანიზმს ამარცხებს“.

თემებიორ ნევოდორ გრანატინივ ჰოფმანიAirAnthropicOpenAIGoogleMicrosoftGitHubThe Register

გამოქვეყნდა 18 სექტემბერი, 2026