Повтарящ се модел на уязвимост в ИИ агентите за програмиране на Anthropic, Google и OpenAI позволява на атакуващите да постигнат отдалечено изпълнение на код (RCE), да откраднат идентификационни данни за API и да компрометират вериги за доставки на софтуер, и то без никакъв привилегирован достъп.

Слабостите са открити от изследователя по сигурността Елад Мегед от Novee при тестване на конфигурацията по подразбиране на всеки доставчик в техните собствени публични хранилища. Това означава, че заплахата не е теоретична, а е реална за кода, който милиони разработчици използват днес.

Основният проблем не е в самите модели с изкуствен интелект, а в т.нар. „обвивка“ (harness) – съпътстващия код, който управлява разрешенията на инструментите, изпълнението и изолираната среда около всеки агент.

Изследователят Елад Мегед установи, че е достатъчно отварянето на един доклад за проблем (issue) в GitHub от анонимен потребител без никакви привилегии, за да се задейства агентът и да се вмъкнат злонамерени кодове (prompt-injection payloads), които обвивката не успява да ограничи правилно.

Тъй като тези агенти често работят автономно в CI/CD тръбопроводи без човешки преглед на всяко действие, скрита злонамерена инструкция в докладван проблем или заявка за изтегляне (pull request) може да доведе директно до изпълнение на код.

Корекции за сигурност на Anthropic за Claude и заобикаляне на защитата

В собственото хранилище на Anthropic claude-code изследователите постигнаха отдалечено изпълнение на код чрез експлоатиране на несъответствие между логиката за валидиране на команди в Claude и начина, по който обвивката интерпретира цитирани низове. Това е позволило на злонамерен git push флаг –receive-pack да заобиколи 23 проверки за сигурност и да изпълни произволен код в средата на изпълнителя (runner).

След като Anthropic отстрани уязвимостта, изследователите откриха втори начин за заобикаляне, използвайки командата за четене на файлове tac, за да прочетат произволни файлове, включително извличане на обърнат API ключ чрез публичен лог на GitHub Actions.

При трети опит е използван публичният брояч за изтегляния на HuggingFace като скрит страничен канал за източване на API ключ символ по символ, което в крайна сметка е регистрирано като CVE-2026-54316.

Риск за веригата за доставки в Gemini CLI на Google

Инструментът Gemini CLI на Google, работещ в хранилище с над 106 000 звезди и около два милиона месечни инсталации, е засегнат от два комбиниращи се проблема: „ограничен“ списък с разрешени конзолни инструменти, който всъщност никога не се е прилагал по време на изпълнение, и схема за пречистване на средата, която изтрива тайните от дъщерния процес, но ги оставя напълно достъпни в родителския процес през /proc.

Комбинацията от пълен достъп до конзолата и лесно четими идентификационни данни е позволила на атакуващите да ескалират правата си от анонимен докладван проблем до директно вграждане на злонамерен код в главния клон на разработка – компрометиране, което Google оцени с максималния рейтинг CVSS 10.0 в своя бюлетин за сигурност и коригира чрез промяна в модела на доверие за headless изпълнение.

Персистентно отвличане на Codex в OpenAI

Работният процес на Codex в хранилището на OpenAI е изпълнявал две преминавания на агента, споделящи едно работно пространство. Въпреки че OpenAI вече е защитил чувствителни директории като .git и .codex от подправяне, е пропуснат файлът AGENTS.md – конфигурационният файл с инструкции по подразбиране, който агентът зарежда и на който се доверява при всяко стартиране.

Атакуващите са могли да компрометират този файл по време на първото преминаване, така че второто, „безопасно“ преминаване да наследи злонамерените инструкции заедно с каквито и да е повишени привилегии или токени, които то носи.

OpenAI отстрани уязвимостта в своето хранилище в рамките на три дни, като раздели двете преминавания в изолирани задачи. Въпреки това изследователите предупреждават, че същият модел с многократно преминаване на агенти все още се копира масово на други места.

Novee Security подчертава, че това не са били просто лоши конфигурации, а правилни решения за сигурност, които са се сринали в точките на предаване на данни между различните части на системите.

Същите уязвимости по подразбиране са открити в повече от сто публични хранилища извън тестваните три доставчика, което означава, че всяка организация, работеща с тези кодиращи агенти в автоматизирани процеси, вероятно е наследила същата уязвимост.

Изследователите препоръчват всеки файл, записван от автоматизиран работен процес, както и самият процес, да се третират като недоверена повърхност за въвеждане на данни, вместо да се приема, че настройките по подразбиране на разработчиците са безопасни.