GitHub Codespaces-də AI-yə bağlı “RoguePilot” boşluğu: Repositorylərin Tam İdarə Olunması Təhlükəsi

GitHub Codespaces-də “RoguePilot” Boşluğu Aşkar Edildi

GitHub Codespaces platformasında ciddi bir təhlükəsizlik boşluğu aşkarlanıb. ‘RoguePilot’ adlandırılan bu zəiflik, zərərli aktorlara GitHub issue-ları daxilində təhlükəli Copilot təlimatları yeridərək repositorylərin idarəsini ələ keçirməyə və kritik GITHUB_TOKEN məlumatlarını sızdırmağa imkan verirdi.

Orca Security şirkəti tərəfindən aşkar edilən bu AI-yə bağlı boşluq, məsuliyyətli açıqlama (responsible disclosure) proseduruna uyğun olaraq Microsoft-a bildirildikdən sonra aradan qaldırılıb.

Boşluğun İşləmə Mexanizmi və Potensial Təhlükələr

RoguePilot Exploit-i, əsasən, GitHub Copilot-un işləmə prinsipindən istifadə edirdi. Copilot-un AI imkanlarından sui-istifadə edərək, zərərli təlimatlar gizli şəkildə GitHub issue-larına daxil edilə bilərdi. Bu təlimatlar, Codespaces mühitində icra edildikdə, GITHUB_TOKEN-i ələ keçirərək, hackerlərə həmin repository üzərində tam nəzarət imkanı verirdi.

GITHUB_TOKEN, GitHub repositorylərinə proqramatik giriş üçün istifadə olunan bir təhlükəsizlik açarıdır. Onun sızdırılması, kodların dəyişdirilməsi, silinməsi, hətta özəl repositorylərin ictimaiyyətə açılması kimi ciddi nəticələrə səbəb ola bilər.

Kibertəhlükəsizlik mütəxəssisləri, bu cür AI-yə bağlı boşluqların, proqram təminatının inkişafı prosesinə inteqrasiya olunmuş süni intellekt alətlərinin artan istifadəsi ilə birlikdə, gələcəkdə daha tez-tez rast gəlinə biləcəyini qeyd edirlər.

Müdafiə və Nəticə

Microsoft, Orca Security-dən xəbərdarlıq aldıqdan sonra sürətlə reaksiya verərək, boşluğu vaxtında aradan qaldırıb və Codespaces istifadəçilərinin təhlükəsizliyini təmin edib. Bu hadisə, AI tərəfindən dəstəklənən platformalarda da Exploit imkanlarının mövcudluğunu bir daha sübut edir və inkişaf etdiriciləri diqqətli olmağa çağırır.