Что произошло
По данным BleepingComputer, 13 июля 2025 года с постороннего аккаунта был отправлен вредоносный pull request в репозиторий расширения. 17 июля AWS опубликовала версию 1.84.0 в магазине расширений VS Code, и изменение вошло в неё. Внедрённый текст предписывал AI-агенту с доступом к файловой системе и bash привести систему к почти заводскому состоянию и удалить файловые и облачные ресурсы. 23 июля AWS выпустила бюллетень AWS-2025-015: причиной назван токен GitHub с избыточными правами в конфигурации CodeBuild. Вредоносный фрагмент не выполнился из-за ошибки форматирования. Уязвимости присвоен идентификатор CVE-2025-8217.
Где нарушилась защита
Граница доверия нарушилась в процессе сборки: токен с излишними правами позволил внешнему участнику изменить код, который автоматически попал в подписанный и распространяемый вендором релиз. Пользователи доверяли официальному каналу обновлений, поэтому проверки на их стороне не было. Особенность случая в том, что полезной нагрузкой стал не бинарный код, а текстовая инструкция для AI-агента, которому расширение предоставляло доступ к локальным командам и учётным данным облака. Такие инструкции плохо ловятся классическими сканерами вредоносного кода.
Последствия
- Версия 1.84.0 с вредоносной инструкцией была опубликована в официальном магазине и доступна пользователям расширения с почти миллионом установок
- AWS заявила, что ресурсы клиентов не пострадали: внедрённый код не сработал из-за синтаксической ошибки
- Версия 1.84.0 отозвана из всех каналов распространения, пользователям и владельцам форков потребовалось обновление
Реакция
AWS отозвала и заменила учётные данные, удалила несанкционированный код, 24 июля выпустила версию 1.85.0 и сняла 1.84.0 с распространения. Пользователям рекомендовано удалить 1.84.0, включая производные копии расширения.
Уроки для бизнеса
- Системные промпты и инструкции AI-агентов нужно защищать и проверять так же, как исполняемый код
- Даже официальный релиз крупного вендора может быть скомпрометирован через CI/CD
- Чем шире полномочия агента в среде разработчика, тем дороже ошибка в цепочке поставки
- Токены сборочных систем с широкими правами — ключевая точка отказа
Меры, которые предотвратили бы инцидент
- Минимальные права для токенов CI/CD и обязательная проверка изменений от внешних участников
- Контроль версий AI-расширений в IDE через корпоративный список разрешённых версий и отложенное обновление
- Запуск AI-агентов разработчика с ограниченными правами, без доступа к боевым облачным учётным данным
- Подтверждение человеком деструктивных команд, выполняемых агентом
- Мониторинг изменений промптов и конфигураций агентов в репозиториях