Red Agent kontratakuje: Jak AI od Wiz ośmieszyło zabezpieczenia GitHub Copilot

Wiz Research właśnie udowodniło, że w wyścigu zbrojeń AI to nie twórcy kodu, a „myśliwi” mają obecnie przewagę. Ich autonomiczne narzędzie Red Agent zidentyfikowało poważną lukę polegającą na wstrzyknięciu skryptu w publicznym repozytorium Snowflake na GitHubie. Odkrycie jest o tyle niepokojące, że standardowe systemy obronne, w tym GitHub Advanced Security korzystający z funkcji Copilot Autofix, analizowały ten sam kod i nie dopatrzyły się żadnych nieprawidłowości.

Dlaczego to ważne teraz

Incydent ze Snowflake to sygnał ostrzegawczy dla firm polegających na automatyzacji bezpieczeństwa. Według danych zebranych przez Infosecurity Magazine, luka pojawiła się w repozytorium 18 czerwca po rutynowej poprawce. Fakt, że Copilot Autofix „przetrawił” ten kod bez zgłoszenia błędu, pokazuje, że tradycyjne skanery statyczne przestają wystarczać w świecie, w którym AI generuje architekturę systemów. Red Agent nie tylko znalazł błąd, ale – jak podaje Wiz – samodzielnie potwierdził dostęp do wrażliwych danych w wewnętrznym konektorze Jira firmy Snowflake.

Automatyzacja ataku i obrony

Badacze z Wiz Research nie szukali tej luki ręcznie. Red Agent to model zaprojektowany do samodzielnych testów penetracyjnych, który potrafi myśleć nieszablonowo. W projekcie snowflake-connector-net agent dostrzegł ścieżkę, która pozwalała dowolnemu użytkownikowi na przejęcie kontroli nad procesami GitHub Actions. Mechanizm był banalny: wystarczyło otworzyć zgłoszenie (GitHub issue) ze specjalnie spreparowanym tytułem, aby zdalnie wykonać komendy w infrastrukturze firmy.

Przedstawiciele Wiz podkreślają, że ich narzędzie „autonomicznie odkryło i wykorzystało wstrzyknięcie GitHub Actions oraz zweryfikowało dostęp do wrażliwych danych” bez jakiejkolwiek ingerencji człowieka. To zmiana paradygmatu – AI nie jest już tylko asystentem, ale samodzielnym aktorem, który potrafi przeprowadzić pełny cykl ataku.

Szybka reakcja i brak wycieku

Snowflake nie zlekceważył ostrzeżenia. Gdy 23 czerwca informacja o podatności trafiła do nich przez platformę HackerOne, firma zareagowała w ciągu jednej doby. Podatny skrypt został załatany, a klucze dostępowe do systemu Jira natychmiast wymieniono. Dochodzenie wykazało, że przed interwencją Wiz nikt inny nie wykorzystał tej luki.

Koniec zaufania do „Autofix”

Największa lekcja płynie jednak z porażki narzędzi Microsoftu. Gal Nagli z Wiz Research wskazuje wprost: tradycyjne skanery zawiodły, bo szukają znanych wzorców, podczas gdy agenci AI potrafią wykrywać błędy logiczne. Skuteczna ochrona będzie wymagała czegoś więcej niż tylko pasywnego monitorowania. Skoro AI potrafi napisać błędny kod, który wygląda na poprawny, potrzebujemy narzędzi klasy Red Agent, by te błędy wyłapywać, zanim zrobią to prawdziwi przestępcy.

• Luka istniała w repozytorium przez 5 dni przed wykryciem.
• Naprawa zajęła Snowflake mniej niż 24 godziny od zgłoszenia.
• Red Agent udowodnił dostęp do Jira za pomocą jednego publicznego wpisu na GitHubie.