Gli sviluppatori e gli ingegneri di tutto il mondo stanno sempre più integrando gli strumenti di intelligenza artificiale nella loro workflow di programmazione. Tuttavia, una novità appena emersa potrebbe metterli in seria allerta. Secondo gli esperti del programma GenAI Bug Bounty di Mozilla, gestito dalla squadra 0DIN, esiste una vulnerabilità che sfrutta strumenti AI come il Claude Code per prendere il controllo del sistema dell'utente.
Individuato il vettore di attacco
Gli ricercatori hanno dimostrato come un repository GitHub appena visto e non sospetto possa essere utilizzato come veicolo per un attacco sofisticato. Questo sfrutta un'indiretta tecnica di iniezione di prompt che si attiva quando un utente utilizza uno strumento AI per aprire il codice. Il processo inizia con uno script di setup che estrae un comando da un'entrata DNS direttamente durante l'esecuzione, senza mai memorizzarlo esplicitamente nel repository.
Un esempio concreto è stato isolato da una repository GitHub che, se aperta con un tool AI, esegue uno script automatico come parte del processo di configurazione. Questo script può avviare una reverse shell, dando l'accesso completo all'hacker, che può così rubare credenziali, API keys e ottenere un accesso persistente.
Pericoloso nella normalità
La tecnica è difficile da rilevare perché il codice malintenzionato non compare mai direttamente nel repository, evitando scansioni di sicurezza, code review e attenzione dell'intelligenza artificiale stessa. Il tutto avviene in modo trasparente; l'utente vede solo un errore di routine durante l'installazione e il codice dannoso entra in azione.
Tutto inizia quando un sviluppatore apre una repository inviata via email, link condivisi su Slack o link trovati in un post di lavoro. In quei casi, la repository sembra innocua. Ma una volta aperta con uno strumento AI, il processo malevolo si scatena senza interruzioni. L'accesso permette agli hacker di eseguire codice arbitrario sul computer, prendendo il controllo della macchina.
Percorsi critici per gli sviluppatori
I ricercatori hanno espresso un chiaro consiglio: ogni comando, ogni istruzione di installazione derivante da terze parti dovrebbe essere considerato malevolo fino a prova contraria. Questo include script di setup o istallazione in repository GitHub connessi a tutorial, guide o post di reclutamento.
Proposta per la sicurezza
Gli esperti di 0DIN hanno avanzato una proposta critica: gli strumenti AI dovrebbero mostrare esplicitamente almeno il codice all'interno di un setup script prima di eseguirlo. Questo consentirebbe agli sviluppatori di prendere una decisione consapevole riguardo a cosa stanno eseguendo.
Ai programmatori, invece, viene ricordato che la sicurezza inizia dal comportamento responsabile. Pratiche come verificare il codice prima di usare un repository esterno o eseguire comandi di configurazione con strumenti AI, possono evitare compromissione del sistema.
Che cosa devi fare?
- Non aprire repository GitHub di terzi senza comprenderne il contenuto.
- Usa gli strumenti AI per verificare script di setup, non per eseguirli direttamente.
- Configura strumenti di monitoraggio e controllo per rilevare comandi sospetti.
- Aggiorna antivirus e strumenti di sicurezza regolarmente.
- Forma continuamente il team sulle minacce emergenti legate agli strumenti di AI.
Gli strumenti AI, pur portando vantaggi significativi, possono anche introdurre nuove vulnerabilità se non usati con cautela. Il bilanciamento tra produttività e protezione è quindi più delicato che mai per tutti gli sviluppatori.