Эволюция инструментов разработки привела к появлению полноценных ИИ-агентов, способных самостоятельно управлять окружением и исправлять ошибки в коде. Однако эта высокая степень автономности создает критический вектор атаки, где стремление системы быть полезной становится ее главной уязвимостью. Исследователи из Mozilla Zero Day Investigative Network продемонстрировали, как Claude Code может быть скомпрометирован без единой строки вредоносного кода в самом репозитории. В основе метода лежит эксплуатация поведенческой логики агента, превращающая стандартный процесс отладки в инструмент доставки нагрузки.
Современные инструменты разработки, такие как Claude Code, Cursor или GitHub Copilot, перестали быть просто продвинутыми автодополнителями текста. Они превратились в активных участников процесса, которые могут разворачивать проекты, устанавливать зависимости и взаимодействовать с терминалом. Эта «услужливость» — способность агента самостоятельно решать возникающие проблемы — создает опасный прецедент: ИИ начинает доверять инструкциям, содержащимся внутри кода, который он анализирует.
Механика атаки, представленная командой 0DIN, изящна в своей простоте и полностью обходит традиционные средства защиты. В репозитории нет явных эксплойтов или подозрительных скриптов, которые могли бы заметить статические анализаторы (SAST) или системы управления составом ПО (SBOM). Вместо этого используется многоступенчатая цепочка событий, где каждое звено по отдельности выглядит безобидным.
Все начинается с Python-пакета, который при установке намеренно генерирует ошибку. В тексте этой ошибки содержится подсказка: пользователю (или агенту) предлагается выполнить определенную команду инициализации, например python3 -m axiom init. Для человека такая ситуация может выглядеть подозрительно, но для ИИ-агента, запрограммированного на максимально эффективное решение задач, это выглядит как стандартный технический сбой первого запуска.
Когда Claude Code видит ошибку и читает рекомендацию по ее исправлению, он делает ровно то, для чего был создан: пытается починить окружение. Агент выполняет предложенную команду, которая запускает скрытый скрипт. На этом этапе происходит самое критическое действие — обход сетевого мониторинга. Скрипт не обращается к подозрительному URL-адресу, который легко заблокировать или просканировать. Вместо этого он запрашивает DNS TXT-запись с сервера атакующего. В этой записи в кодировке base64 скрыта непосредственно вредоносная нагрузка, которая исполняется прямо в оперативной памяти.
Результатом становится получение reverse shell — удаленного управления системой с правами текущего разработчика. Атакующий получает полный доступ к API-ключам, переменным окружения и локальным конфигурационным файлам, фактически закрепляясь в системе. При этом интерфейс агента продолжает сообщать пользователю, что «окружение готово», маскируя катастрофический прорыв безопасности под успешную настройку проекта.
Этот случай подчеркивает системную проблему всех современных автономных CLI-инструментов, включая Gemini CLI и аналогичные решения. Проблема заключается не в программной ошибке конкретного продукта, а в самой концепции «доверенного исполнения». Ранее подобные атаки реализовывались через конфигурационные файлы (как в случае с некоторыми репозиториями Microsoft), но переход на DNS-запросы делает доставку нагрузки еще более скрытной и динамичной.
Для предотвращения подобных инцидентов индустрия должна пересмотреть подход к прозрачности действий агентов. Решением может стать обязательное отображение всей цепочки выполняемых операций, включая детальный анализ того, что именно подгружается в рантайме. Пока же единственным надежным барьером остается критическое мышление разработчика: любые команды, предлагаемые ИИ-ассистентом для «исправления» среды, должны восприниматься с тем же подозрением, что и произвольный скрипт из интернета.
Цифровая независимость с обновлением Immich 3.0
