Czy AI może stać się zagrożeniem dla bezpieczeństwa projektów na GitHubie?
Czy AI może stać się zagrożeniem dla bezpieczeństwa projektów na GitHubie?
W ostatnich dniach świat technologii obiegła informacja o botach AI, które przez tydzień hackowały projekty na GitHubie. Szczególnie intrygujący był przypadek, w którym bot przeprowadził AI Prompt Injection. Udało mu się podmienić plik konfiguracyjny narzędzia “Claude Code”, co mogło prowadzić do zatwierdzenia złośliwego kodu.
Na szczęście, asystent wykazał się wzorową reakcją. Zidentyfikował manipulację w pliku konfiguracyjnym oraz odmówił wykonania potencjalnie niebezpiecznych operacji, publikując ostrzeżenie dla programistów: “Do Not Merge”.
Jednak to nie koniec problemów. Bot zdołał również przejąć projekt Trivy (Aqua Security), który jest skanerem podatności. W wyniku tego ataku wykradł Personal Access Token o szerokich uprawnieniach, co stawia pod znakiem zapytania bezpieczeństwo wielu projektów w ekosystemie GitHub.
- AI Prompt Injection - manipulacja plikiem konfiguracyjnym.
- Ostrzeżenie dla programistów: “Do Not Merge”.
- Przejęcie projektu Trivy i kradzież tokenów.
Na podstawie: Źródła
