Un paper pubblicato il 3 settembre descrive un attacco alla supply chain contro agent di coding basati su AI che non altera nulla che una revisione ordinaria esaminerebbe. Modifica solo la configurazione dei lifecycle hook di un plugin, e lo fa in fase di aggiornamento — dopo che il plugin è già stato valutato e installato.
Che cosa è stato testato
Gli autori valutano dieci obiettivi d’attacco su 25 combinazioni di harness e backend in 1.000 esecuzioni end-to-end. Il risultato: la tecnica "compromette tutti e sette gli harness valutati, con tassi di successo per harness fino al 92,5%." Il framework è rilasciato come open source con il nome HookPry.
I numeri sul rilevamento sono il punto decisivo
Microsoft Defender ha un 0% di recall contro questo attacco, e "l’unione di tre difese statiche manca il 47,5% degli artefatti malevoli." Il fatto che un prodotto di sicurezza endpoint nominato non ne rilevi nulla è il dato che conta per chi esegue plugin per agent sulle macchine degli sviluppatori, perché i lifecycle hook eseguono comandi shell con privilegi dell’host su eventi che il modello non vede mai. Nulla nell’addestramento di sicurezza del modello o nei prompt di approvazione dell’utente si colloca in quel percorso.
Perché il percorso di aggiornamento è l’elemento nuovo
Il version pinning e la revisione una tantum presuppongono entrambi che ciò che è stato verificato sia ciò che viene eseguito. Qui un plugin che al momento della revisione era davvero benigno viene trasformato in arma in un secondo momento solo tramite la configurazione — nessun nuovo codice, nessun nuovo pacchetto. È questa la lacuna che il paper mette in evidenza, e che non è coperta dai controlli di cui dispongono la maggior parte dei team.
Che cosa non torna nella cornice con cui è stata presentata la notizia
Trelimitazioni vanno associate al titolo. Il 92,5% è il tetto tra gli harness, non un tasso complessivo — i tassi di successo "raggiungono" quel livello, quindi l’harness mediano è inferiore e la media non viene mai indicata. "Compromette tutti e sette gli harness" significa che almeno uno dei dieci obiettivi ha avuto successo su ciascuno di essi; si tratta di copertura, non di affidabilità. E il modello di minaccia è più ristretto dello sfruttamento remoto: l’attaccante deve già controllare i metadati del plugin e la configurazione degli hook per un plugin che la vittima ha installato e aggiorna. È una vera posizione nella supply chain, ma è una posizione che prima va conquistata. I sette harness non sono nominati nell’abstract, nessun vendor ha risposto e non c’è alcuna patch da applicare qui.