კრიპტოგრაფიული კონტექსტის ინექციის შეტევა GitHub Copilot CLI-ის მეშვეობით დეველოპერების საიდუმლოებებს ამჟღავნებს

როგორ მუშაობს შეტევა

კრიპტოგრაფიული კონტექსტის ინექცია (CCI) მავნე ინსტრუქციებს ძლიერი შიფრული ტექსტის სახით აწვდის, გასაღების მასალასთან და გაშიფვრის ინსტრუქციასთან ერთად, რითაც აგენტს აიძულებს, ეს გაშიფვრა საკუთარი კოდის შესრულების გარემოში გაუშვას. სტატიკური დამცავი მექანიზმები ტექსტს კითხულობენ და არ ასრულებენ; ინსპექტირების დროს არცერთი კონტენტის კლასიფიკატორი არ უშვებს შიფრს. გაშიფრული ინსტრუქციები შემდეგ იმ კოდის შედეგად ჩნდება, რომელიც აგენტმა ახლახან დაწერა და გაუშვა, მისსავე სანდო შესრულების კონტექსტში, და აგენტი მათ ისე ეპყრობა, თითქოს საკუთარი ინსტრუქციებია.

GitHub Copilot CLI-ის წინააღმდეგ ჯაჭვი ასე მუშაობს. ავტოპილოტის რეჟიმში მყოფი მომხმარებელი აგენტს ერთი URL-ის ჩამოტანას სთხოვს. გვერდი თავს დაშიფრულ კონტენტად წარმოაჩენს, Python-ით გაშიფვრის ინსტრუქციით, და ორ შესაძლო გაშიფვრის გასაღებს სთავაზობს. ერთი გასაღები ნამდვილია. მეორე შაბლონია, რომელსაც აგენტი ვერ შეავსებს ლოკალური ფაილების წინასწარ წაკითხვის გარეშე, ამიტომ აგენტი მიზნობრივ ფაილებს დისკიდან კითხულობს და მათ შიგთავსს გასაღების სტრიქონში ჩასვამს. სწორედ ეს წაკითხვაა ქურდობა და ის გაშიფვრისთვის მზადების გვერდითი ეფექტად ხდება, სანამ რომელიმე გაშიფვრა წარმატებით დასრულდება.

შაბლონური გასაღებით გაშიფვრის მცდელობა განზრახ მარცხდება. აგენტი ნამდვილ გასაღებზე გადადის, გაშიფვრა წარმატებით სრულდება და გაშიფრული მეორე ეტაპი ავალებს, ჩამოიტანოს შემდგომი URL, რომელიც უკვე მოპოვებულ ფაილის შიგთავსს მოთხოვნის პარამეტრად ატარებს. მთელი ჯაჭვი 28 წამს იკავებს, დადასტურებას არ საჭიროებს და ტრანსკრიპტში არცერთ ადგილს არ ტოვებს, სადაც დანიშნულების ჰოსტი დასახელდება ან ფაილის შიგთავსის მანქანიდან გასვლა მიეთითება. თავად აგენტის დასკვნითი შეჯამება იტყობინება, რომ მან „დაადასტურა ავტორიზებული მკითხველის ენდპოინტი“.

მოდელების ლატარია, რომელსაც მომხმარებლები ვერ ხედავენ

ამ შეტევის შემზღუდველი კონტროლები მხოლოდ ხელით ჩაირთვება და ავტოპილოტში ნაგულისხმევად გამორთულია, აგენტის ინფრასტრუქტურაში კი ვერაფერმა შეაჩერა ის. წინააღმდეგობის ერთადერთი შანსი ისაა, რომ ენის მოდელმა უარი თქვას გაშიფრული დატვირთვის გაშვებაზე, და წინააღმდეგობა მკვეთრად განსხვავდება ერთსა და იმავე პროდუქტში შემოთავაზებულ მოდელებს შორის. ერთმა მოდელმა, Microsoft-ის mai-code-1.1-flash-მა, მკვლევრების გაშვებების 50%-ში მთელი ჯაჭვი შეასრულა. Copilot-ში შემოთავაზებულმა ორმა GPT-5.6 მოდელმა იდენტურ დატვირთვაზე თანმიმდევრულად უარი თქვა. იგივე ინსტრუქციები, ღია ტექსტის სახით მიწოდებული, პრომპტის ინექციად აღიქმება და უარყოფილია; მათ გატარებას სწორედ დაშიფვრა ახერხებს.

ტესტირებულ ფასიან ანგარიშზე დაუცველი მოდელი ნაგულისხმევი არ იყო და მისი ხელით შერჩევა იყო საჭირო. ანგარიშზე, სადაც მოდელის არჩევანი Auto-ზე იყო დატოვებული, როუტერმა ზოგ სესიაზე დაუცველი მოდელი მიანიჭა, ზოგზე კი უსაფრთხო, მომხმარებლის მხრიდან ნაგულისხმევიდან გადახვევის გარეშე. მომხმარებელი არ ირჩევს და ვერ ხედავს, რომელი მოდელი ემსახურებოდა სესიას.

გამჟღავნება და დაცვა

მკვლევრებმა აღმოჩენა GitHub-ის bug bounty პროგრამას 2026 წლის 17 სექტემბერს შეატყობინეს. 2026 წლის 1 ოქტომბრისთვის ტრიაჟის გუნდმა აღმოჩენა დაადასტურა, მაგრამ უარი თქვა მის დაუცველობად მიჩნევაზე და განაცხადა, რომ მომხმარებელმა „ცხადად სთხოვა Copilot CLI-ს თავდამსხმელის მიერ კონტროლირებული კონტენტის ჩამოტანა და ამავდროულად Copilot-ს ავტონომიური მოქმედების სრული ნებართვები მისცა“. ჯაჭვი კვლავ რეპროდუცირდება დაზარალებულ მოდელზე და კონკრეტული დატვირთვები არ ქვეყნდება ექსპლუატაციის თავიდან ასაცილებლად.

მკვლევრები ამბობენ, რომ მდგრადი გამოსავალი მოდელის დონეზე არ არის. დამცველებმა უნდა შეინახონ ყოველი ინსტრუმენტის გამოძახების სესიაზე მიბმული კვალი, სრულად ამოხსნილი არგუმენტებით, მიიტანონ გაფრთხილებები არასანდო კონტენტის შემოსვლის, კოდის გაშვების, ფაილების წაკითხვისა და აგენტის მიერ უკავშირო ჰოსტთან დაკავშირების თანმიმდევრობაზე, შეზღუდონ ახალი ქსელური დანიშნულებები და სამუშაო სივრცის გარეთ ჩაწერა, და კარანტინში მოათავსონ არასანდო კონტენტი კონტექსტში, სადაც არც ინსტრუმენტებია და არც ავტორიზაციის მონაცემები.

წყაროები: Theregister · theregister.com