Исследователи из платформы 0DIN, входящей в программу bug bounty Mozilla GenAI, обнаружили новый вектор атаки на среды разработки с ИИ-агентами. Уязвимость затрагивает Claude Code — инструмент для написания кода, который становится все более популярным среди разработчиков. Атака использует непрямую инъекцию промптов: злоумышленник создаёт репозиторий на GitHub, который при открытии в
Механизм атаки заключается в том, что скрипт установки проекта (например, setup.sh) считывает команду из DNS TXT-записи. Эта команда никогда не находится в самом репозитории, поэтому её невозможно обнаружить при статическом анализе или ревью кода. Когда Claude Code запускает такой скрипт, он сталкивается с обычной ошибкой и автоматически запускает предложенный скрипт для её исправления. На самом деле этот скрипт устанавливает reverse shell — атакующий получает полный контроль над машиной разработчика.
С помощью reverse shell злоумышленник может извлечь API-ключи, учётные данные для входа и закрепиться в системе для длительного доступа. Для компрометации достаточно, чтобы разработчик просто перешёл по ссылке на репозиторий в сообщении Slack, вакансии или туториале. Исследователи отмечают, что атака не уникальна для Claude Code: любой ИИ-агент, который автоматически выполняет команды без проверки пользователем, может быть уязвим.
Claude Code автоматически запускает вредоносный скрипт при обработке ошибки, открывая reverse shell атакующему.
Решение проблемы, предложенное исследователями: ИИ-агенты должны показывать содержимое скрипта перед выполнением, а разработчики — относиться к инструкциям из сторонних репозиториев как к ненадёжному коду. Mozilla уже уведомлена, Anthropic также проинформирована. На момент публикации официальные патчи не выпущены.
