# Инструкция на удаление данных попала в официальный релиз Amazon Q для VS Code

> Злоумышленник внёс в открытый репозиторий расширения Amazon Q Developer инструкцию для AI-агента очистить систему и удалить облачные ресурсы, и она попала в официальный релиз 1.84.0. Код не сработал из-за синтаксической ошибки, AWS сообщила об отсутствии ущерба клиентам. Инцидент показал, что промпт агента с доступом к файлам и командной строке стал частью цепочки поставки наравне с кодом.

- Канонический HTML: [/incidents/amazon-q-vscode-wiper-prompt](https://ai-first.tech/incidents/amazon-q-vscode-wiper-prompt)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2025-07-17
- Категория: Цепочка поставки
- Затронуто: Расширение Amazon Q Developer для Visual Studio Code версии 1.84.0 (почти 1 млн установок)
- Критичность: Высокий
- CVE: CVE-2025-8217

## Что произошло

По данным BleepingComputer, 13 июля 2025 года с постороннего аккаунта был отправлен вредоносный pull request в репозиторий расширения. 17 июля AWS опубликовала версию 1.84.0 в магазине расширений VS Code, и изменение вошло в неё. Внедрённый текст предписывал AI-агенту с доступом к файловой системе и bash привести систему к почти заводскому состоянию и удалить файловые и облачные ресурсы. 23 июля AWS выпустила бюллетень AWS-2025-015: причиной назван токен GitHub с избыточными правами в конфигурации CodeBuild. Вредоносный фрагмент не выполнился из-за ошибки форматирования. Уязвимости присвоен идентификатор CVE-2025-8217.

## Где нарушилась защита

Граница доверия нарушилась в процессе сборки: токен с излишними правами позволил внешнему участнику изменить код, который автоматически попал в подписанный и распространяемый вендором релиз. Пользователи доверяли официальному каналу обновлений, поэтому проверки на их стороне не было. Особенность случая в том, что полезной нагрузкой стал не бинарный код, а текстовая инструкция для AI-агента, которому расширение предоставляло доступ к локальным командам и учётным данным облака. Такие инструкции плохо ловятся классическими сканерами вредоносного кода.

## Последствия

- Версия 1.84.0 с вредоносной инструкцией была опубликована в официальном магазине и доступна пользователям расширения с почти миллионом установок
- AWS заявила, что ресурсы клиентов не пострадали: внедрённый код не сработал из-за синтаксической ошибки
- Версия 1.84.0 отозвана из всех каналов распространения, пользователям и владельцам форков потребовалось обновление

## Реакция

AWS отозвала и заменила учётные данные, удалила несанкционированный код, 24 июля выпустила версию 1.85.0 и сняла 1.84.0 с распространения. Пользователям рекомендовано удалить 1.84.0, включая производные копии расширения.

## Уроки для бизнеса

- Системные промпты и инструкции AI-агентов нужно защищать и проверять так же, как исполняемый код
- Даже официальный релиз крупного вендора может быть скомпрометирован через CI/CD
- Чем шире полномочия агента в среде разработчика, тем дороже ошибка в цепочке поставки
- Токены сборочных систем с широкими правами — ключевая точка отказа

## Меры защиты

- Минимальные права для токенов CI/CD и обязательная проверка изменений от внешних участников
- Контроль версий AI-расширений в IDE через корпоративный список разрешённых версий и отложенное обновление
- Запуск AI-агентов разработчика с ограниченными правами, без доступа к боевым облачным учётным данным
- Подтверждение человеком деструктивных команд, выполняемых агентом
- Мониторинг изменений промптов и конфигураций агентов в репозиториях

Связанные карточки угроз: A51, A59, A34, A47

## Первоисточники

- [Security Update for Amazon Q Developer Extension for Visual Studio Code (AWS-2025-015)](https://aws.amazon.com/security/security-bulletins/AWS-2025-015/) — AWS
- [Amazon AI coding agent hacked to inject data wiping commands](https://www.bleepingcomputer.com/news/security/amazon-ai-coding-agent-hacked-to-inject-data-wiping-commands/) — BleepingComputer