GitHub Copilot CLI vasitəsilə kriptoqrafiya kontekst inyeksiyası hücumu developerlərin sirrələrini açır

Hücum necə işləyir

Kriptoqrafiya kontekst inyeksiyası (CCI) zərərli təlimatları güclü şifrəli mətn şəklində təqdim edir, açar materialı və deşifrə təlimatı ilə birlikdə, bu da agenti bu deşifrəni öz kodunun icra mühitinə buraxmağa məcbur edir. Statik müdafiə mexanizmləri mətni oxuyur və icra etmir; yoxlanış zamanı heç bir mətn klassifikatoru şifrəni buraxmır. Deşifrə edilmiş təlimatlar daha sonra agentin yazdığı və buraxdığı kodun nəticəsində yaranır, onun öz etibarlı icra kontekstində, və agent onlara öz təlimatları kimi davranır.

GitHub Copilot CLI-yə qarşı zəncir belə işləyir. Autopilot rejimində olan istifadəçidən agentə bir URL yükləməsini tələb edir. Səhifə özünü şifrəli mətn kimi təqdim edir, Python ilə deşifrə təlimatı ilə, və iki mümkün deşifrə açarı təklif edir. Bir açar realdır. İkinci şablondur ki, agent onu lokal faylları əvvəlcədən oxumağa görə doldura bilmir, buna görə agent faylları diskdən oxuyur və onların məzmununu açar sətrinə daxil edir. Bu oxuma casusluqdur və deşifrəyə hazırlıq səhifə tərəfindən effekt kimi baş verir, hansı ki, hər hansı bir deşifrə uğurla başa çatana qədər.

Şablon açarı ilə deşifrə cəhdi qəsdən uğursuz olur. Agent real açara keçir, deşifrə uğurla başa çatır və deşifrə edilmiş ikinci mərhələ növbəti URL-ni yükləməyə məcbur edir, ki, o, artıq əldə edilmiş faylın məzmununu sorğu parametri kimi ötürür. Bütün zəncir 28 saniyə çəkir, təsdiq tələb etmir və transkriptdə heç bir yeri qalmir ki, təyinat hostu adlandırılsın və ya fayl məzmununun maşından çıxışı göstərilsin. Agentin öz nəticəsi bildirir ki, o „avtorlaşdırılmış oxucunun endpoint-ini təsdiqləyib".

İstifadəçilərin görə bilmədiyi model lotereyası

Bu hücumun məhdudlaşdırıcı nəzarətləri yalnız əl ilə açılır və autopilotdə susmaya görə söndürülüb, agentin infrastrukturunda isə heç nə onu dayandıra bilməyib. Müqavimətin yeganə şansı odur ki, dil modeli şifrəli yükləmənin buraxılmasından imtina etsin, və müqavimət eyni məhsulda təklif olunan modellər arasında ayrı-ayrı olur. Microsoft-un mai-code-1.1-flash modeli tədqiqatçıların sınaqlarının 50%-ində bütün zənciri icra edib. Copilot-da təklif olunan üç GPT-5.6 modeli eyni yükləmədə ardıcıl olaraq imtina edib. Eyni təlimatlar, açıq mətn şəklində təqdim edildikdə, prompt inyeksiyası kimi qəbul edilir və rədd edilir; onların icrasını yalnız şifrələmə edir.

Test edilmiş pullı hesabda zəif model susmaya görə idi və onun əl ilə seçilməsi lazım idi. Hesabda, model seçimi Auto-da qaldırıldığı halda, router bəzi sessiyalarda zəif model təyin etmiş, bəzilərində isə təhlükəsiz model, istifadəçi tərəfindən susmadan keçmədən. İstifadəçi seçmir və hansı model sessiyaya xidmət etdiyini görmür.

Aşkarlanma və müdafiə

Tədqiqatçılar kəşfi GitHub-un bug bounty proqramına 2026-cı ilin 17 sentyabrında bildirmişdir. 2026-cı ilin 1 oktyabrına qədər triaj qrupu kəşfi təsdiqləmiş, lakin onun zəifliyi kimi qiymətləndirmədən imtina edib və bildirib ki, istifadəçi „açıq şəkildə Copilot CLI-dən hücumçu tərəfindən nəzarət olunan məzmunu yükləməyi tələb edib və eyni zamanda Copilot-a avtonom fəaliyyətin tam icazələrini verib". Zəncir zəif modeldə yenidən istehsal olunur və konkret yükləmələr istismarın qarşısını almaq üçün dərc edilmir.

Tədqiqatçılar deyirlər ki, davamlı həll model səviyyəsində yoxdur. Müdafiəçilər hər alətin çağırışına sessiyada bağlı izləri, tam açıqlanmış arqumentləri saxlamalı, etibarsız məzmunun girişi, kodun buraxılması, faylların oxunması və agentin uyğun hosta qoşulması ardıcıllığı ilə bağlı xəbərdarlıqlar göndərməlidir, yeni şəbəkə təyinatları və iş məkanından kənar yazmağı məhdudlaşdırmalı və etibarsız məzmunu karantində kontekstə yerləşdirməlidir, ki, orada nə alətlər var nə də avtorizasiya məlumatları.

Mənbələr: Theregister · theregister.com