Wiz-in AI agenti Snowflake-də Copilot-un görmədiyi boşluğu istismar etdi

Wiz Research bildirir ki, avtonom təhlükəsizlik araşdırma aləti Red Agent Snowflake-in açıq GitHub repozitoriyasında kritik GitHub Actions boşluğunu tapıb və istismar edib. Hadisə Snowflake-in HackerOne proqramı vasitəsilə bildirilib, nəticələr isə 17 avqust 2026-cı ildə dərc olunub.

Zəif workflow

Problem snowflakedb/snowflake-connector-net repozitoriyasındakı jira_issue.yml faylında idi. Workflow hər yeni açılan GitHub issue-da işə düşür və hücumçunun idarə etdiyi issue başlığını birbaşa shell skriptinə yerləşdirirdi. GitHub-ın şablon genişlənməsi sed escaping-dən əvvəl baş verdiyi üçün başlıqdakı bir dırnaq echo sətrindən çıxaraq ixtiyari əmrlərin icrasına imkan verirdi. Boşluq PR #1218-in birləşdirildiyi 18 iyun 2026-da aktiv oldu — aşkarlanmasından beş gün əvvəl.

Agent bunu necə istismar etdi

Red Agent başlığı Jira etimadnamələrini out-of-band callback vasitəsilə xaricə ötürən bir issue açdı. İlk cəhd uğursuz oldu: # işarəsi şərhə çevrildi və TITLE=$(...) ifadəsinin bağlayıcı mötərizəsini "yedi", nəticədə bash sintaksis xətası yarandı. Agent xətanı özü təhlil etdi, payload-ı "; echo '" ilə dəyişdi və saniyələr içində Azure IP 20.106.182.197 üzərindəki GitHub Actions runner-dan base64 ilə kodlanmış məlumat gətirən callback aldı.

Avtomatik yoxlamalar niyə susdu

Oğurlanmış token snowflakecomputing.atlassian.net-də [email protected] kimi autentifikasiya olunaraq Snowflake-in mühəndislik, təhlükəsizlik uyğunluğu və bug bounty layihələrinə oxu girişi verirdi. Workflow-da açan şəxsi github.event.pull_request.user.login ilə yoxlayan "qoruyucu" şərt var idi; lakin issues tipli hadisələrdə bu sahə həmişə null olduğundan şərt həmişə doğru olurdu. GitHub Advanced Security son versiyanı skan etdi, amma injection-ı qeyd etmədi; birləşdirilmiş PR isə təhlükəsiz env: + jq nümunəsini birbaşa interpolasiya ilə əvəz etmişdi.

Reaksiya və nəticələr

Snowflake workflow-u bildirişin həmin günü yamaqladı (commit 1dc7766, PR #1402), Jira token-ını 24 iyunda ləğv edib dəyişdirdi; audit qeydləri beş günlük məruz qalma pəncərəsində üçüncü tərəflərin girişi olmadığını göstərdi. Wiz qeyd edir ki, Copilot birləşdirilmiş dəyişikliyi yoxlayıb təhlükəsiz hesab edən həmmüəllif olub və kodun özünün AI dəstəyi ilə yazıldığı bəlli deyil. Nəticə: AI tərəfindən yaradılan pull request-lər insan kodunun aldığı eyni statik analizdən keçməlidir; aşkarlanma pəncərələri qısaldıqca sürətli yamaq dövrləri və qısamüddətli etimadnamələr tələb olunur.