Aqua Trivy VS Code: AI-атака через GitHub Actions и эксфильтрация

Инцидент с использованием расширения Aqua Trivy VS Code на OpenVSX выявил сложную целенаправленную атаку, нацеленную на рабочие процессы GitHub Actions в проектах с открытым исходным кодом. Вредоносные релизы 1.8.12 и 1.8.13 внедряли в редактор механизмы для запуска AI‑агента и сбора конфиденциальной информации, используя возможности локальных помощников по программированию, таких как Claude, Codex и GitHub Copilot.

Что произошло

Вредоносная логика была скрыта в функции активации рабочей области (workspace activation). При активации она выполняла запросы в наиболее разрешённых режимах, чтобы обойти человеческий надзор, проводила всестороннюю проверку системы и собирала данные. Механизм работы обеспечивал бесшумную и незаметную для пользователя деятельность вредоносного кода.

Чем отличались версии 1.8.12 и 1.8.13

• Версия 1.8.12: агенту поручалось обнаружить все каналы связи в системе жертвы и отфильтровать собранные данные по широкому спектру исходящих путей — почтовые клиенты, службы обмена сообщениями и т.д. Поведение было хаотичным: данные рассеивались по множеству каналов, а не эксфильтрировались централизованно.
• Версия 1.8.13: подход был усовершенствован и стал более целенаправленным. Агент собирал токены и учетные данные, записывал их в файл и использовал аутентифицированный сеанс GitHub CLI жертвы для создания нового репозитория, где планировалось хранить отчёты. Здесь присутствовал риск непреднамеренной публикации конфиденциальных данных из‑за настроек доступа репозитория по умолчанию, хотя, по имеющейся информации, создание такого репозитория в конечном счёте не было подтверждено.

Механизмы сокрытия и выполнения

В обеих версиях вредоносный код встраивался в рутинные операции редактора: команды выполнялись как часть обычных workflow VS Code, что затрудняло их обнаружение. Команды использовали флаги инструментов AI для необозначенного/неограниченного выполнения, что позволяло им работать «тихо» и обходить стандартные проверки безопасности и внимание пользователя.

Значение для supply chain и эволюция угроз

Этот инцидент демонстрирует заметный сдвиг в сторону злоупотреблений supply chain с помощью AI: злоумышленники начинают использовать встроенные и расширенные AI‑возможности инструментов разработки для проведения разведки и потенциальной эксфильтрации секретов. Использование легитимных расширений и сервисов как транспортных средств для малвари усложняет защиту и обнаружение.

«Этот инцидент подчёркивает необходимость бдительного мониторинга поведения расширений и упреждающего подхода к защите сред разработки от возникающих угроз, создаваемых с помощью искусственного интеллекта.»

Рекомендации по реагированию и снижению риска

• Немедленно удалить уязвимые версии расширения (1.8.12 и 1.8.13) из сред разработки и репозиториев OpenVSX/VS Code Marketplace, если они используются.
• Проверить историю использования расширений и логи активации workspace на предмет необычной активности.
• Проверить активность в GitHub на предмет несанкционированного создания репозиториев или других неожиданных действий, связанных с GitHub CLI.
• Ротировать все потенциально скомпрометированные учётные данные: GitHub tokens, API‑ключи, секреты CI/CD и т.п.
• Усилить мониторинг и alerting для операций с учётными данными и подключениями из сред разработки.
• Ограничить права расширений и минимизировать доступность секретов в средах разработки (настройка least privilege).
• Проводить регулярные аудиты используемых extension и применять политики доверия для их установки в корпоративной среде.

Вывод

Инцидент с Aqua Trivy VS Code — наглядный пример того, как злоумышленники комбинируют возможности AI и легитимные инструменты разработки для атак на цепочки поставок. Организациям и разработчикам следует действовать быстро: удалить уязвимые версии, проверить активность и ротировать токены и ключи. Только проактивный мониторинг и жёсткая политика управления расширениями помогут снизить риски подобных атак в будущем.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.