นักวิจัยจากไมโครซอฟท์เปิดเผยว่า ก่อนหน้านี้ Claude Code GitHub Action ของ Anthropic มีช่องโหว่ที่ได้รับการแก้ไขแล้ว ผู้โจมตีสามารถซ่อนคำสั่งที่เป็นอันตรายไว้ใน issue, pull request หรือความคิดเห็นบน GitHub เพื่อหลอกให้ตัวแทนการเขียนโค้ดของ AI อ่านข้อมูลที่ละเอียดอ่อนภายในกระบวนการ CI/CD และส่งข้อมูลรับรองไปยังภายนอก
การโจมตีใช้เนื้อหาจาก GitHub เป็นตัวกระตุ้น
ไมโครซอฟท์ระบุในบล็อกว่า ความเสี่ยงประเภทนี้เกิดจากตัวแทน AI ที่จัดการเนื้อหาข้อความภายนอกโดยตรงในกระบวนการพัฒนา ซึ่งกระบวนการที่เกี่ยวข้องมักมีสิทธิ์เข้าถึงข้อมูลที่ละเอียดอ่อน เช่น กุญแจ API และข้อมูลรับรองบริการคลาวด์ เมื่อตัวแทนนำข้อมูลที่ไม่น่าเชื่อถือมาใช้เป็นคำสั่งที่สามารถดำเนินการได้ ความเสี่ยงจะเพิ่มขึ้นอย่างรวดเร็ว
ตามวิธีการทดสอบของไมโครซอฟต์ นักวิจัยได้สร้างงาน GitHub และซ่อนคำสั่งที่เป็นอันตรายไว้ในเนื้อหาที่โดเมนที่ควบคุมส่งกลับ เพื่อหลีกเลี่ยงการป้องกันบางส่วนของ Claude จากนั้น Claude Code ถูกหลอกให้อ่านไฟล์ที่มีข้อมูลรับรองที่ละเอียดอ่อน และแก้ไขเนื้อหาของข้อมูลรับรองเหล่านั้น เพื่อหลีกเลี่ยงการป้องกันของตัวเองและเครื่องมือสแกนคีย์ของ GitHub
เอกสารสามารถถูกส่งต่อผ่านช่องทางต่างๆ
ไมโครซอฟท์ระบุว่า ผู้โจมตีสามารถเรียกคืนข้อมูลเหล่านี้ได้ผ่านหลายวิธี เช่น ความคิดเห็นใน issue บันทึกงาน流程 คำขอเว็บ หรือคำสั่ง shell นักวิจัยยังได้สร้างสถานการณ์ให้ผู้ใช้ที่ไม่มีสิทธิ์เขียนสามารถกระตุ้นงาน流程 ได้ เพื่อยืนยันว่าการโจมตียังคงเป็นไปได้แม้จะเปิดใช้งานมาตรการล้างตัวแปรสภาพแวดล้อม
ไมโครซอฟท์ระบุว่าพวกเขาดำเนินการวิจัยนี้เนื่องจากก่อนหน้านี้ได้สังเกตการพยายามแทรกคำสั่งที่คล้ายกันใน kho สาธารณะที่เกี่ยวข้องกับผู้ให้บริการหลายราย จุดร่วมของการโจมตีเหล่านี้คือ เนื้อหาของ issue หรือ pull request ที่ควบคุมโดยผู้โจมตีจะถูกตัวแทน AI อ่าน และส่งผลต่อพฤติกรรมการเรียกใช้เครื่องมือของมัน
Anthropic ได้แก้ไขแล้วในเดือนพฤษภาคม
Claude Code เป็นตัวแทนการเขียนโค้ด AI ที่ Anthropic เปิดตัวในเดือนตุลาคมปีที่แล้ว เครื่องมือนี้เคยได้รับความสนใจในเดือนมีนาคมปีนี้เมื่อซอร์สโค้ดถูกเปิดเผยโดยไม่ตั้งใจ โดยมีเนื้อหาที่รั่วไหลเกิน 500,000 บรรทัด ทำให้นักวิจัยและนักพัฒนาวิเคราะห์โครงสร้างภายในอย่างกว้างขวาง
ไมโครซอฟท์ระบุว่าได้เปิดเผยปัญหานี้แก่ Anthropic ผ่าน HackerOne เมื่อวันที่ 29 เมษายน Anthropic จึงออกเวอร์ชัน Claude Code 2.1.128 เมื่อวันที่ 5 พฤษภาคม เพื่อแก้ไขปัญหา
ไมโครซอฟท์เชื่อว่ากรณีนี้แสดงให้เห็นว่า ด้วยการเชื่อมต่อตัวแทน AI เข้ากับกระบวนการพัฒนาซอฟต์แวร์ ข้อความธรรมชาติกำลังเข้าใกล้ความเป็น “รหัสที่สามารถดำเนินการได้” มากขึ้นเรื่อยๆ ในสถานการณ์เช่นนี้ ข้อมูลภายนอก เช่น GitHub issue และความคิดเห็น ควรได้รับการพิจารณาว่าเป็นข้อมูลที่ไม่น่าเชื่อถือโดยค่าเริ่มต้น มิฉะนั้น ข้อมูลเพียงชิ้นเดียวที่ถูกสร้างขึ้นอย่างรอบคอบอาจกลายเป็นช่องทางในการเข้าถึงข้อมูลรับรองของสภาพแวดล้อมการผลิต