Вредоносный код из репозитория на GitHub может угрожать всем пользователям Claude Code

Современные инструменты разработки на базе искусственного интеллекта, обещающие избавить инженеров от рутины, неожиданно стали «черным ходом» для злоумышленников. Исследователи по безопасности из 0DIN, платформы Mozilla для поиска уязвимостей в генеративном ИИ, обнаружили критический вектор атаки, нацеленный непосредственно на рабочие станции программистов. Как сообщает The Decoder, популярный инструмент Claude Code может автоматически исполнять вредоносный код, спрятанный в обычном на вид репозитории GitHub.

Проблема кроется в механизме непрямых промпт-инъекций (indirect prompt injection). Когда разработчик открывает скомпрометированный проект с помощью ИИ-агента, система сталкивается с заранее подготовленной ошибкой в конфигурации. Пытаясь «помочь» и исправить ситуацию, Claude Code без дополнительных подтверждений запускает скрипт настройки, который и становится отправной точкой для захвата системы. В этот момент злоумышленник получает полный контроль над машиной через reverse shell.

Механика невидимого взлома

Архитектура атаки примечательна своей скрытностью: вредоносный код фактически отсутствует в самом репозитории, что делает его неуловимым для статических сканеров и ручного аудита. Сценарий развертывания устроен так, что команда на исполнение подтягивается из DNS-записи прямо во время работы скрипта. ИИ-агент, ослепленный стремлением к автоматизации, просто выполняет то, что считает стандартной процедурой исправления ошибок сборки.

Последствия такой доверчивости могут быть катастрофическими для профессиональной среды. Получив доступ к терминалу, атакующий способен извлечь API-ключи, учетные данные из менеджеров паролей и установить постоянное присутствие в системе. Учитывая, что ссылкой на проект может быть снабжена вакансия, туториал или сообщение в корпоративном мессенджере, риск компрометации охватывает широчайший круг специалистов.

Слепое делегирование прав на исполнение кода ИИ-агентам превращает удобный инструмент в идеального инсайдера. Проблема здесь не в сложности малвари, а в избыточном доверии к автоматизации, которая игнорирует базовый принцип «нулевого доверия». Пока разработчики не начнут верифицировать действия агентов в реальном времени, любая попытка ускорить билд будет напоминать игру в русскую рулетку с собственной инфраструктурой.

Как обезопасить рабочий процесс

Для минимизации рисков при работе с внешними зависимостями эксперты рекомендуют придерживаться определенного алгоритма проверки, даже если ИИ кажется безупречным помощником. Обычная осторожность здесь работает эффективнее сложных систем защиты, поскольку атака эксплуатирует именно логику поведения пользователя и его инструментов.

• Всегда проверяйте содержимое setup-скриптов и конфигурационных файлов до того, как позволить ИИ взаимодействовать с ними.
• Относитесь к любым инструкциям по настройке в сторонних репозиториях как к потенциально опасному, недоверенному коду.
• Используйте изолированные окружения или контейнеры для тестирования новых библиотек и проектов, чтобы ограничить доступ агента к основной файловой системе.

По мнению исследователей 0DIN, фундаментальным решением должно стать изменение логики самих ИИ-инструментов. Агенты обязаны визуализировать содержимое исполняемых файлов перед их запуском, запрашивая явное одобрение пользователя. До тех пор, пока эта «песочница» не станет стандартом индустрии, ответственность за безопасность ключей и доступа к серверам целиком лежит на плечах человека, нажимающего кнопку Enter.