Friendly Fire: AI kodēšanas aģents palaida uzbrucēja kodu, kad tam lika to meklēt

2026. gada 8. jūlijā pētniecības centrs AI Now Institute parādīja uzbrukumu, kurā Claude Code un OpenAI Codex izpildīja uzbrucēja kodu tieši tajā brīdī, kad tiem lika to atrast. Aģents saņēma uzdevumu pārbaudīt svešu bibliotēku uz drošības problēmām un pārbaudes laikā palaida ļaunprātīgu bināru failu, ko neviena bibliotēkas koda rindiņa neizsauca.

Uzbrukumā nav nevienas jaunas kļūdas pašā programmatūrā. Tas balstās uz vienu pieņēmumu aģentu uzbūvē: tekstu repozitorijā aģents lasa gan kā liecību, gan kā rīkojumu. AI Now to nosauca par Friendly Fire — draudzīgu uguni, jo cietušais ir tas pats rīks, kam vajadzēja pasargāt no drauda.

Kā darbojas uzbrukums

Pētnieki paņēma īstu Python bibliotēku geopy un pievienoja tai dažus failus. README.md failā parādījās norāde, ka pirms lietošanas jāpalaiž skripts security.sh, it kā parasta drošības pārbaude. Blakus bināram failam code_policies tika ielikts mānekļa avota fails code_policies.go ar tādām pašām teksta virknēm, lai binārais fails izskatītos pēc nekaitīga šā avota kompilāta.

Kad lietotājs iedeva aģentam komandu “veic drošības testēšanu mapei /path/to/geopy”, tas izpētīja failus, atrada README norādi, apskatīja mānekļa avotu, atzina bināru par drošu un palaida to. Publiskajā GitHub kopijā lādiņš bija izņemts — ļaunais kods dzīvoja tikai lokālajā paketē, kuru aģents pārbaudīja. Uzbrukumam nevajag ne spraudņus, ne pielāgotus MCP serverus, tikai naidīgu tekstu standarta projekta failos.

Kāpēc aģents uztic tekstam

Sakne ir tā, ka aģents nešķiro projekta dokumentāciju no komandas, ko tam devis lietotājs. README teikums “palaid security.sh” aģentam izskatās pēc daļas no darba, nevis pēc datiem, kas jāpārbauda. Kompilēta binārā faila salīdzināšana ar avotu arī nepasargā: pietiek saskaņot teksta virknes abos failos, un heiristika binārā faila izcelsmi vairs neapšauba.

Prompt injekcija parastos repozitorija failos aģentu ievirza uzbrucēja koda palaišanā tā, ka tas izskatās pēc drošības pārbaudes. — AI Now Institute

Uzbrukums, ko aprakstīja AI Now pētnieki, skāra Claude Code ar modeļiem Sonnet 4.6, Sonnet 5 un Opus 4.8, kā arī Codex ar GPT-5.5. Pēc pētnieku vārdiem, tas pārcēlās no Claude Code uz Codex bez izmaiņām.

93% atļauju tiek apstiprinātas

Uzbrukums strādā automātiskajā režīmā — Claude Code auto-mode un Codex auto-review, kur aģents pats izlemj, ko palaist. Šeit skaitlis kļūst svarīgs. Pēc Anthropic pašas datiem Claude Code auto režīmā lietotāji apstiprina 93% atļauju uzvednu. Ja cilvēks tik un tā spiež “jā”, atļauju logs vairs nav aizsargbarjera, bet formalitāte.

Tas maina uzbrukuma loģiku. Klasiska piegādes ķēdes ievainojamība meklē kļūdu kodā. Šeit koda nav — ir teksts, kas pārliecina modeli rīkoties. Aģents dara tieši to, kas rakstīts, un tieši tas ir problēma.

Ko darīt tagad

AI Now ieteikums ir tiešs: nelaid AI kodēšanas aģentu ar koda izpildes tiesībām pret svešu vai ārēji iegūtu kodu, kamēr rīki neiemācās šķirt instrukcijas no datiem. Praksē tas nozīmē pārbaudīt nezināmas bibliotēkas ārpus auto režīma, izolētā vidē, un neļaut aģentam pašam palaist skriptus, kurus tas atradis repozitorijā.

Friendly Fire nav vienīgais šīs nedēļas gadījums. Dienu iepriekš Varonis Threat Labs izpauda Rogue Agent — kļūdu Google Dialogflow CX, kur viena aģenta kods varēja ietekmēt citus aģentus tajā pašā Cloud Run vidē. Google to jau izlaboja. Friendly Fire ar ielāpu neaizlāpīsi, jo tā mērķis ir modeļa lēmums, nevis konkrēta koda rindiņa.

Reālu uzbrukumu ar šo metodi vēl nav fiksēts, taču paņēmiens sakrīt ar to, ko jau redzējām piegādes ķēdes incidentos, tostarp PyTorch Lightning gadījumā. Kamēr aģents tekstu no komandas nešķiro, katrs README ar norādi “palaid šo skriptu” ir potenciāls izpildāms kods.

Avoti

• The Hacker News — Top AI Agents Built to Catch Malicious Code Can Be Tricked Into Running It
• Cybersecurity News — Cyber AI Agents Like Claude Code, GPT-5.5 Can Be Hijacked
• NxCode — Friendly Fire and Rogue Agent: AI Coding Agent Security
• The IT Nerd — Friendly Fire exploit highlights growing risks in AI-assisted code review