2 min

Nebezpečný trik na AI programátory: čistý repozitář a skrytý příkaz přes DNS

Sdílet

Dennívýzva

Výzkumníci z 0DIN popsali útok na Claude Code, který nepotřeboval schovaný malware v repozitáři. Stačila důvěryhodně vypadající chyba, běžný instalační příkaz a AI asistent ochotný problém hned vyřešit.

Zdroj: Shutterstock

Vývojáři si na AI asistenty začínají zvykat jako na nástroj, který nejen radí, ale také rovnou jedná. Umí projít projekt, najít chybu, navrhnout opravu a v některých případech ji i spustit. Jenže právě tahle pohodlnost má druhou stranu. Bezpečnostní tým 0DIN od Mozilly teď ukázal, že agentní nástroj může být nebezpečný i ve chvíli, kdy v repozitáři neleží žádný očividný malware.

Ukázka se týká Claude Code od Anthropic a nese název „Clone This Repo and I Own Your Machine“. Název je schválně provokativní, ale princip útoku je o to nepříjemnější, že nepůsobí nijak přehnaně. Vývojář dostane odkaz na projekt, třeba v chatu, pracovním zadání nebo u nabídky práce. Repozitář vypadá normálně. Soubory nevypadají podezřele, běžná kontrola nic zásadního neodhalí a ani statický skener nemusí mít důvod k poplachu.

V projektu je návod k instalaci nástroje Axiom. Když se prostředí nepovede správně spustit, objeví se obyčejná chyba s doporučením, co má uživatel udělat dál. Přesně takových hlášek vidí programátoři denně spoustu. A právě na tom celý útok stojí. Claude Code se pokusí problém vyřešit, vezme instrukci jako běžný krok nastavení a spustí příkaz.

Jenže tím se začne dít něco, co už uživatel na první pohled nevidí.

Škodlivá část nebyla v repozitáři

Nejzajímavější na celé demonstraci je, že nebezpečný příkaz nebyl uložený přímo v kódu. Skript si ho stáhl až při běhu z DNS TXT záznamu. To je typ záznamu, který se běžně používá například k ověřování domén nebo nastavení e-mailů. Pro bezpečnostní nástroje tak takový krok nemusí vypadat jako útok. Vidí jen dotaz na DNS, tedy něco, co počítače dělají neustále.

Podle výzkumníků byl v DNS záznamu uložený base64 řetězec. Po dekódování se z něj stal příkaz pro otevření reverzního shellu. Laicky řečeno: počítač vývojáře by se mohl připojit k serveru útočníka a dát mu možnost spouštět další příkazy. Odtud už je jen krok k tomu, aby útočník hledal přístupové tokeny, SSH klíče, pracovní soubory nebo další citlivá data.

Na tomhle případu je nepříjemné hlavně to, že Claude Code nedělal nic, co by z jeho pohledu vypadalo jako jasný útok. Choval se jako poslušný pomocník. Našel chybu, přečetl doporučení a vykonal opravu. Jenže u agentních nástrojů už nejde jen o textovou odpověď v chatu. Jakmile má takový nástroj právo spouštět příkazy v terminálu, pracuje s opravdovým počítačem a opravdovými daty.

Reklama

Další články z cdr.cz

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Všechny články tohoto autora

Další články z kategorie Technologie

Zajímavosti IT a technologie Technologie

Vybrali jsme pro vás Magazíny a zajímavosti

Engizek platí za chaos. Oktagon mu dal stopku a mastnou pokutu

Kerim Engizek nesmí šest měsíců nastoupit v Oktagonu a zaplatí 20 tisíc eur (asi 485 tisíc korun)....

Nebezpečný trik na AI programátory: čistý repozitář a skrytý příkaz přes DNS

Masakr v Černém moři. Ukrajina loví Putinovu stínovou flotilu

Sedával v koutě, aby měl krytá záda. Režisér David Laňka odhalil děsivé soukromí

Léčba mění Markétu Konvičkovou před očima: Nové fotografie ukázaly výraznou proměnu

Lepší vyprazdňování s humorem. Internet baví neobvyklý záchodový trend

David Hasselhoff z Pobřežní hlídky slaví 74 a je k nepoznání. Ze svalovce v červených plavkách je dědeček s chodítkem