2 min

Nebezpečný trik na AI programátory: čistý repozitář a skrytý příkaz přes DNS

Sdílet

Dennívýzva

Výzkumníci z 0DIN popsali útok na Claude Code, který nepotřeboval schovaný malware v repozitáři. Stačila důvěryhodně vypadající chyba, běžný instalační příkaz a AI asistent ochotný problém hned vyřešit.

Zdroj: Shutterstock

Vývojáři si na AI asistenty začínají zvykat jako na nástroj, který nejen radí, ale také rovnou jedná. Umí projít projekt, najít chybu, navrhnout opravu a v některých případech ji i spustit. Jenže právě tahle pohodlnost má druhou stranu. Bezpečnostní tým 0DIN od Mozilly teď ukázal, že agentní nástroj může být nebezpečný i ve chvíli, kdy v repozitáři neleží žádný očividný malware.

Ukázka se týká Claude Code od Anthropic a nese název „Clone This Repo and I Own Your Machine“. Název je schválně provokativní, ale princip útoku je o to nepříjemnější, že nepůsobí nijak přehnaně. Vývojář dostane odkaz na projekt, třeba v chatu, pracovním zadání nebo u nabídky práce. Repozitář vypadá normálně. Soubory nevypadají podezřele, běžná kontrola nic zásadního neodhalí a ani statický skener nemusí mít důvod k poplachu.

V projektu je návod k instalaci nástroje Axiom. Když se prostředí nepovede správně spustit, objeví se obyčejná chyba s doporučením, co má uživatel udělat dál. Přesně takových hlášek vidí programátoři denně spoustu. A právě na tom celý útok stojí. Claude Code se pokusí problém vyřešit, vezme instrukci jako běžný krok nastavení a spustí příkaz.

Jenže tím se začne dít něco, co už uživatel na první pohled nevidí.

Škodlivá část nebyla v repozitáři

Nejzajímavější na celé demonstraci je, že nebezpečný příkaz nebyl uložený přímo v kódu. Skript si ho stáhl až při běhu z DNS TXT záznamu. To je typ záznamu, který se běžně používá například k ověřování domén nebo nastavení e-mailů. Pro bezpečnostní nástroje tak takový krok nemusí vypadat jako útok. Vidí jen dotaz na DNS, tedy něco, co počítače dělají neustále.

Podle výzkumníků byl v DNS záznamu uložený base64 řetězec. Po dekódování se z něj stal příkaz pro otevření reverzního shellu. Laicky řečeno: počítač vývojáře by se mohl připojit k serveru útočníka a dát mu možnost spouštět další příkazy. Odtud už je jen krok k tomu, aby útočník hledal přístupové tokeny, SSH klíče, pracovní soubory nebo další citlivá data.

Na tomhle případu je nepříjemné hlavně to, že Claude Code nedělal nic, co by z jeho pohledu vypadalo jako jasný útok. Choval se jako poslušný pomocník. Našel chybu, přečetl doporučení a vykonal opravu. Jenže u agentních nástrojů už nejde jen o textovou odpověď v chatu. Jakmile má takový nástroj právo spouštět příkazy v terminálu, pracuje s opravdovým počítačem a opravdovými daty.

Reklama

Další články z cdr.cz

Tento článek byl publikován ze zdrojů cdr.cz

Web přináší články z oblasti informačních technologií, hardwaru, softwaru i moderních digitálních služeb. Čtenáři zde najdou přehled novinek, zajímavostí i témat, která ukazují, jak technologie ovlivňují každodenní život i budoucnost.Obsah kombinuje výběr aktuálních témat s vysvětlením...

Nebezpečný trik na AI programátory: čistý repozitář a skrytý příkaz přes DNS

„Zničte balkony.“ Postsovětská země řeší bizarní problém, demoliční čety už řádí

Orozovič jako násilník v Monyové vyděsil diváky. Teď mu píší ženy, které zažily totéž

Modely upřesnily, kdy skončí současné chladnější a deštivější počasí

Až se vrátí tropy, budete chtít být právě tady. Lesní koupaliště s ledovou vodou okouzlilo celé Česko

Třpyt, flitry i odvážné výstřihy. Tohle jsou outfity z UniCredit party