კრիպտոգրաֆիկ համատեքստի ներարկման հարձակումը GitHub Copilot CLI-ի միջոցով բացահայտում է ծրագրավորողների գաղտնիքները

Ինչպես է աշխատում հարձակումը

Կրիպտոգրաֆիկ համատեքստի ներարկումը (CCI) վնասակար հրահանգները ուղարկում է ուժեղ գաղտնագրված տեքստի տեսքով, բանալու նյութերի և ապագաղտնագրման հրահանգների հետ միասին, ինչը ստիպում է գործակլին գործարկել այդ ապագաղտնագրումը իր սեփական կոդի կատարման միջավայրում: Ստատիկ պաշտպանական մեխանիզմները կարդում են տեքստը և չեն կատարում. ստուգման ժամանակ ոչ մի բովանդակության դասակարգիչ չի թույլատրում գաղտնագրը: Ապագաղտնագրված հրահանգները հետո հայտնվում են այն կոդի արդյունքով, որը գործակլը նորագույնում գրել և գործարկել է, իր սեփական վստահելի կատարման համատեքստում, և գործակլը դրանց վերաբերվում է այնպես, կարծես դրանք իր սեփական հրահանգներն են:

GitHub Copilot CLI-ի դեմ ցանկը այսպես է աշխատում: Ավտոպիլոտի ռեժիմում գտնվող օգտատերը պահանջում է գործակլին ներբեռնել մեկ URL: Էջը իրեն ներկայացնում է որպես գաղտնագրված բովանդակություն, Python-ով ապագաղտնագրման հրահանգներով, և առաջարկում է երկու հնարավոր ապագաղտնագրման բանալի: Մեկ բանալին իրական է: Մյուսը շաբլոն է, որը գործակլը չի կարող լրացնել առանց լոկալ ֆայլերի նախապես կարդալու, ուստի գործակլը նպատակադրորեն կարդում է ֆայլերը սկավառակից և դրանց պարունակությունը տեղադրում է բանալու տողում: Հենց այս կարդալը գողություն է և այն դառնում է ապագաղտնագրման համապատասխան էֆեկտով, մինչև որևէ ապագաղտնագրում հաջողությամբ ավարտվում է:

Շաբլոնային բանալով ապագաղտնագրման փորձը մտադրված ձախողվում է: Գործակլը անցնում է իրական բանալին, ապագաղտնագրումը հաջողությամբ ավարտվում է և ապագաղտնագրված երկրորդ փուլը պահանջում է ներբեռնել հաջորդ URL-ը, որն արդեն ձեռք բերված ֆայլի պարունակությունը օգտագործում է որպես հարցման պարամետր: Ամբողջ ցանկը տևում է 28 վայրկյան, չի պահանջում հաստատում և թրանսկրիպտում ոչ մի տեղ չի թողնում, որտեղ նշանակման հոստը կնշվի կամ ֆայլի պարունակության մեքենայից ելնելը կնշվի: Գործակլի եզրակացության համառոտ ամփոփումը հաղորդում է, որ նա «հաստատել է լսողի լիազորված վերջնակետը»:

Մոդելների վերջերույթ, որը օգտատերերը չեն տեսնում

Այս հարձակման սահմանափակիչ վերահսկողությունները միայն ձեռքով են միացվում և ավտոպիլոտում լռելյայնորեն անջատված են, իսկ գործակլի ենթակառուցվածքում ոչ մի բան չի կանգնեցրել այն: Հակադիմադրության միակ հնարավորությունն է, որ լեզվի մոդելը մերժի ապագաղտնագրված բեռնման գործարկումը, և հակադիմադրությունը հստակ տարբերվում է մեկ նույն արտադրանքում առաջարկված մոդելների միջև: Մեկ մոդելը, Microsoft-ի mai-code-1.1-flash-ը, հետազոտողների գործարկումների 50%-ում կատարել է ամբողջ ցանկը: Copilot-ում առաջարկված երկու GPT-5.6 մոդելը նույն բեռնման համապատասխան հաջորդականությամբ մերժել է: Նույն հրահանգները, բաց տեքստի տեսքով մատուցված, ընդունվում են որպես հրահանգի ներարկում և մերժվում են. դրանց կատարումը հենց գաղտնագրումն է հնարավորում:

Փորձարկված վճարովի հաշվի վրա անպաշտպան մոդելը լռելյայն չի եղել և դրա ձեռքով ընտրությունը պարտադիր էր: Հաշվի վրա, որտեղ մոդելի ընտրությունը թողնված էր Auto-ում, ուղորդիչը որոշ սեսիաների համար տվել է անպաշտպան մոդել, իսկ որոշների համար՝ անվտանգ, առանց օգտատիրոջ կողմից լռելյայնից անցման: Օգտատերը չի ընտրում և չի տեսնում, թե որ մոդելն է սպասարկել սեսիան:

Բացահայտում և պաշտպանություն

Հետազոտողները հայտնել են GitHub-ի bug bounty ծրագրին 2026 թվականի սեպտեմբերի 17-ին: 2026 թվականի հոկտեմբերի 1-ի դրությամբ թրաժի թիմը հաստատել է հայտնությունը, բայց մերժել է դրա անպաշտպանության համար համարելը և հայտարարել է, որ օգտատերը «բացահայտ պահանջել է Copilot CLI-ից ներբեռնել հարձակումը կառավարող բովանդակությունը և միաժամանակ Copilot-ին տվել է ավտոնոմ գործողությունների լիազոր թույլտվություններ»: Ցանկը կրկնում է վնասված մոդելի վրա և կոնկրետ բեռնումները չեն հայտնվում օգտագործման կրկնակի համար:

Հետազոտողները հայտնում են, որ կայուն լուծում մոդելի մակարդակում չկա: Պաշտպանները պետք է պահեն յուրաքանչյուր գործիքի կանչի սեսիային կցված հետքը, ամբողջությամբ վերլուծված արգումենտներով, տրամադրեն նախազգուշացումներ անվստահելի բովանդակության մուտքի, կոդի գործարկման, ֆայլերի կարդալու և գործակլի կողմից կապի հետ կապված հաջորդականության վերաբերյալ, սահմանափակեն նոր ցանցային նշանակումները և աշխատանքային տարածքից դուրս գրելը, և կանտանինում տեղադրեն անվստահելի բովանդակությունը համատեքստում, որտեղ ոչ գործիքներ կան և ոչ է լիազորման տվյալներ:

Նյութերի աղբյուրներ: Theregister · theregister.com