В GitHub выявили способ обойти защиту репозитория через связку GitHub Copilot и GitHub Codespaces. Исследователи из Orca Security показали, что достаточно запустить среду разработки из специально подготовленной задачи, чтобы ассистент начал выполнять скрытые инструкции.
Злоумышленник добавлял вредоносный фрагмент в описание issue. Copilot автоматически получал этот текст при старте Codespace и воспринимал его как рабочую подсказку. Далее модель переходила к созданному pull request, считывала внутренний файл через символическую ссылку и отправляла данные, включая GITHUB_TOKEN, на внешний сервер. Всё происходило в рамках штатного сценария, без модификации кода и расширений.
История наглядно показывает, что текст в ИИ-интеграциях всё чаще становится каналом управления. Microsoft изменила обработку входных данных, но сам риск никуда не делся. Чем глубже ассистенты встроены в процессы разработки, тем выше цена ошибки в архитектуре доверия.
Злоумышленник добавлял вредоносный фрагмент в описание issue. Copilot автоматически получал этот текст при старте Codespace и воспринимал его как рабочую подсказку. Далее модель переходила к созданному pull request, считывала внутренний файл через символическую ссылку и отправляла данные, включая GITHUB_TOKEN, на внешний сервер. Всё происходило в рамках штатного сценария, без модификации кода и расширений.
История наглядно показывает, что текст в ИИ-интеграциях всё чаще становится каналом управления. Microsoft изменила обработку входных данных, но сам риск никуда не делся. Чем глубже ассистенты встроены в процессы разработки, тем выше цена ошибки в архитектуре доверия.