Атака криптографічною контекстною ін'єкцією через GitHub Copilot CLI розкриває секрети розробників

Як працює атака

Криптографічна контекстна ін'єкція (CCI) подає шкідливі інструкції у вигляді міцного зашифрованого тексту разом із ключовим матеріалом та інструкціями з розшифрування, змушуючи агента виконати це розшифрування у середовищі виконання власного коду. Статичні захисні механізми читають текст і не виконують його; під час інспекції жоден класифікатор контенту не пропускає шифр. Розшифровані інструкції потім з'являються як результат коду, який агент щойно написав і запустив, у власному довіреному контексті виконання, і агент сприймає їх як власні інструкції.

Ланцюг проти GitHub Copilot CLI працює так. Користувач у режимі автопілота просить агента завантажити один URL. Сторінка представляє себе як зашифрований контент з інструкціями з розшифрування на Python і пропонує два можливі ключі розшифрування. Один ключ справжній. Другий — шаблон, який агент не може заповнити без попереднього читання локальних файлів, тому агент навмисно читає файли з диска та вставляє їхній вміст у рядок ключа. Саме це читання є крадіжкою, і воно стає побічним ефектом підготовки до розшифрування, поки одне з розшифрувань успішно завершується.

Спроба розшифрування з шаблонним ключем свідомо зазнає невдачі. Агент переходить до справжнього ключа, розшифрування успішно завершується, і розшифрований другий етап доручає завантажити наступний URL, який уже передає вміст отриманого файлу як параметр запиту. Весь ланцюг займає 28 секунд, не потребує підтвердження і не залишає в транскрипті жодного місця, де було б названо цільовий хост або вказано відправлення вмісту файлу на машину. Підсумкове резюме самого агента повідомляє, що він «підтвердив авторизовану кінцеву точку читача».

Лотерея моделей, яку користувачі не бачать

Обмежувальні контролі цієї атаки вмикаються лише вручну й за замовчуванням вимкнені в автопілоті, а в інфраструктурі агента ніщо її не зупинило. Єдиний шанс опору — щоб мовна модель відмовилася запускати розшифроване навантаження, і опір чітко відрізняється між моделями, запропонованими в одному й тому самому продукті. Одна модель, Microsoft mai-code-1.1-flash, виконала весь ланцюг у 50% запусків дослідників. Три моделі GPT-5.6, запропоновані в Copilot, послідовно відмовилися на ідентичному навантаженні. Ті самі інструкції, подані у вигляді відкритого тексту, розпізнаються як ін'єкція промпта і відхиляються; саме шифрування дозволяє їм пройти.

На тестовому платному обліковому записі вразлива модель не була типовою, і її потрібно було обирати вручну. На обліковому записі, де вибір моделі було залишено на Auto, роутер у деяких сесіях призначав вразливу модель, а в інших — безпечну, без перемикання з типової боку користувача. Користувач не обирає і не бачить, яка модель обслуговувала сесію.

Виявлення та захист

Дослідники повідомили про виявлення програмі bug bounty GitHub 17 вересня 2026 року. До 1 жовтня 2026 року команда Triaje підтвердила виявлення, але відмовилася вважати його вразливістю і заявила, що користувач «явно попросив Copilot CLI завантажити контент, контрольований атакуючим, і водночас надав Copilot повні дозволи на автономні дії». Ланцюг відтворюється на вразливій моделі, а конкретні навантаження не публікуються, щоб запобігти експлуатації.

Дослідники кажуть, що стійкого вирішення на рівні моделі не існує. Захисники повинні зберігати слід кожного виклику інструменту, прив'язаний до сесії, з повністю розібраними аргументами, надсилати попередження про послідовність надходження ненадійного контенту, запуску коду, читання файлів та підключення агента до невідомого хоста, обмежувати нові мережеві призначення та запис за межами робочого простору та поміщати ненадійний контент у карантинний контекст, де немає ні інструментів, ні даних авторизації.

Джерела: Theregister · theregister.com