סוכן AI חשף וניצל פגיעות ב-GitHub Actions של Snowflake שקופיילוט פספס

חברת Wiz Research מדווחת שהכלי האוטונומי שלה לחקר אבטחה, Red Agent, איתר וניצל פגיעות קריטית ב-GitHub Actions במאגר ציבורי של Snowflake. הדיווח הוגש במסגרת תוכנית החשיפה של Snowflake ב-HackerOne, והממצאים פורסמו ב-17 באוגוסט 2026.

תהליך העבודה הפגיע

הבעיה הייתה בקובץ jira_issue.yml במאגר snowflakedb/snowflake-connector-net. תהליך העבודה הופעל בכל פתיחת issue חדש ב-GitHub והזריק את כותרת ה-issue, שנשלטת בידי התוקף, ישירות לסקריפט shell. מכיוון שהרחבת התבנית של GitHub מתרחשת לפני פעולת ה-escaping ב-sed, גרש בודד בכותרת שובר את מחרוזת ה-echo ומאפשר הרצת פקודות שרירותיות. הפגיעות נכנסה לתוקף ב-18 ביוני 2026 עם מיזוג PR #1218 — חמישה ימים לפני גילויה.

כיצד פעל הסוכן

Red Agent פתח issue שכותרתו הדליפה אישורי Jira באמצעות callback יוצא. הניסיון הראשון נכשל: התו # הפך להערה ואכל את הסוגר של TITLE=$(...), מה שגרם לשגיאת תחביר ב-bash. הסוכן ניתח את השגיאה בעצמו, שינה את ה-payload ל-"; echo '" ותוך שניות קיבל callback מ-GitHub Actions runner בכתובת Azure‏ 20.106.182.197 עם נתונים מקודדים ב-base64.

מדוע הבדיקות האוטומטיות שתקו

האסימון שהודלף הזדהה כ[email protected] ב-snowflakecomputing.atlassian.net והעניק הרשאת קריאה בפרויקטי ההנדסה, ציות האבטחה ו-bug bounty של Snowflake. בתהליך העבודה היה תנאי "מגן" שבדק את זהות הפותח לפי github.event.pull_request.user.login, אך באירועי issues השדה הזה תמיד null, ולכן התנאי תמיד מתקיים. GitHub Advanced Security סרק את הגרסה הסופית ולא סימן את ההזרקה, וה-PR שמוזג החליף תבנית בטוחה של env: עם jq בהזרקה ישירה.

תגובה ומסקנות

Snowflake תיקנה את תהליך העבודה באותו יום (commit 1dc7766, PR #1402) וביטלה והחליפה את אסימון Jira ב-24 ביוני; יומני הביקורת הראו שלא הייתה גישה של צד שלישי בחלון החשיפה של חמישה ימים. Wiz מציינת שקופיילוט היה שותף-מחבר שבדק את השינוי שמוזג והגדיר אותו כתקין, ומוסיפה שלא ברור אם השינוי עצמו נכתב בסיוע AI. המסקנה: בקשות מיזוג שנוצרו ב-AI דורשות ניתוח סטטי זהה לזה של קוד אנושי, וחלונות גילוי מתקצרים מחייבים מחזורי תיקון מהירים ואישורים קצרי-מועד.