Таны CI/CD аюулгүй юу? Claude Code, Gemini CLI болон Codex-ийн дефолт тохиргооноос CVSS 10.0 RCE илэрлээ

Сүүлийн саруудад програм хангамж хөгжүүлэлтийн ертөнцөд AI агентууд зөвхөн код бичих биш, харин GitHub дээр шинээр ирсэн Issue-г шинжлэх, Pull Request (PR) дээр автоматаар review хийх, цаашлаад гарсан алдааг засварлах (agentic triage & fixing) бүрэн автомат ажиллагаатай болсон. Гэвч аюулгүй байдлын судлаачдын хийсэн сүүлийн үеийн шалгалтаар технологийн акулууд болох Anthropic, Google болон OpenAI-ийн албан ёсны заавартаа нийтэлсэн GitHub Actions дефолт тохиргоонуудаас нэгэн зэрэг Remote Code Execution (RCE) болон нууц мэдээлэл алдагдах маш ноцтой хамгаалалтын цоорхойнууд илэрлээ.

Хамгийн түгшүүртэй нь: халдагч этгээд репозиторт ямар ч хандах эрхгүй (unauthenticated) байсан ч энгийн нэгэн хортой Issue үүсгэхэд л CI/CD орчинд бүрэн кодоо ажиллуулах боломжтой байжээ.

Моделдоо биш, түүний "Harness" дэд бүтцэд гарсан гажуудал

Олон нийт AI-ийн аюулгүй байдлыг ярихдаа ихэвчлэн "prompt injection" буюу хиймэл оюуныг хуурч хариулт авах тухай боддог. Гэвч энэ удаагийн эмзэг байдал нь AI моделийн өөрийнх нь гаргасан логик алдаа биш, харин модел болон бодит үйлдлийн системийг холбож буй Harness (CI/CD scaffolding, sandboxing бүрхүүл)-ийн архитектурын бүдүүлэг алдаанаас үүдэлтэй юм.

Судалгааны баг тэргүүлэгч гурван компанийн AI агент хэрэгслүүдийг туршиж үзэхэд дараах ноцтой цоорхойнууд илэрсэн байна:

1. Google Gemini CLI: CVSS 10.0 үнэлгээтэй дээд зэргийн эмзэг байдал

Google-ийн хөгжүүлсэн run-gemini-cli үйлдэл дээр илэрсэн CVE-2026-12537 нь аюулгүй байдлын хамгийн өндөр буюу 10.0 үнэлгээ авчээ.

CI орчинд Gemini CLI эхлэхдээ PR-ээр орж ирсэн .gemini/.env тохиргооны файлыг шууд уншдаг байсан бөгөөд контейнерийн sandbox бүрэн ажиллаж эхлэхээс өмнө үйлдлийн систем дээр шууд командыг таримал байдлаар гүйцэтгэх (OS command injection) боломжтой байсан.
Түүнчлэн Gemini CLI-ийн тохиргоонд байдаг "tool-restriction" (зөвшөөрөгдсөн функцуудыг хязгаарлах) тохиргоо нь бодит байдал дээр зүгээр л үзүүлэн төдий бөгөөд ажиллах үед (runtime) огт шалгагддаггүй байсныг илрүүлжээ.
Google-ийн ADK репозитор дээр шалгалт хийхэд бага эрхтэй Triage агент нь өндөр эрхтэй ажилладаг агентыг өдөөн дуудаж, улмаар эрхээ шат ахиулан (privilege escalation) өндөр эрхийн түвшинд код ажиллуулж болох нь батлагдсан.

2. Anthropic Claude Code: Command Bypass болон нууц түлхүүрийн цоорхой

Anthropic-ийн GitHub Actions дээр Claude Code ажиллах явцад Bash аргументуудыг шалгагч шүүлтүүр нь алдаатай ажиллаж байжээ.

Шүүлтүүр нь дан хашилтан (') дотор орж ирсэн утгыг шалгахдаа хасаж хаяснаас үүдэн хортой git тугуудыг (flags) хоосон мэтээр төөрөлдүүлж, системийн түвшинд зөвшөөрөлгүй гүйцэтгэдэг байв.
Илэрсэн CVE-2026-54316 цоорхойн тусламжтайгаар сүлжээний гадагш хандалтыг (egress) хязгаарласан байсан ч Hugging Face-ийн таталтын тоолуур гэх мэт олон нийтийн API-ийн урсгалыг ашиглан байгууллагын API нууц түлхүүрүүдийг нэг нэг тэмдэгтээр нь алдагдуулах (data exfiltration) боломжтой байжээ.

3. OpenAI Codex: "Two-Pass" урсгалын хордлого

OpenAI-ийн албан ёсны жишээ болгож нийтэлсэн ажлын урсгал (workflow) нь хоёр шатлалт бүтэцтэй байв. Гэвч энэ хоёр шат нь нэгдмэл, бичигдэх эрхтэй нэг фолдероор (writable checkout) холбогдсон байсан. Үүнээс болж:

Бага эрхтэй эхний шатны явцад гадны хортой өгөгдлөөр дамжуулан зааврын файл (instructions file)-ийг хуурамчаар үүсгэж чадсан.
Өндөр эрх бүхий хоёр дахь шатны агент тухайн хордуулсан файлыг "албан ёсны найдвартай заавар" хэмээн шууд уншиж гүйцэтгэснээр бүхэл бүтэн төслийн нууцуудыг эзлэн авах боломж бүрдсэн байна.

Нийлүүлэлтийн сүлжээнд (Supply Chain) заналхийлж буй бодит эрсдэл

Энэхүү олдворын хамгийн аюултай тал нь вендор компаниудын өөрсдийн санал болгосон жишээ код байсан явдал юм. Олон зуун нээлттэй эхийн төслүүд болон стартапууд "Anthropic, Google, OpenAI өөрсдөө гаргасан юм чинь баталгаатай" гэж итгээд эдгээр workflow тохиргоог ямар ч өөрчлөлтгүйгээр репозитортоо хуулан хэрэглэж эхэлжээ.

Судалгааны явцад 600 гаруй репозиторыг шалгахад 300 гаруй төсөл нь эдгээр алдаанаас шалтгаалан гадны халдлагад бүрэн өртөхүйц, CI дээрх GITHUB_TOKEN, AWS болон OpenAI API түлхүүрүүд нь ил задгай байдалтай байсан нь нотлогдсон байна. Хэрэв халдагч энэ токенийг авбал репозиторт дурын хортой кодоо commit хийж, албан ёсны хувилбар (release) болгон цацах буюу нийлүүлэлтийн сүлжээний томоохон халдлагыг үүсгэх бүрэн чадамжтай.

Хөгжүүлэгчид өөрсдийгөө хэрхэн хамгаалах вэ?

Хэрэв танай баг эсвэл таны хувийн төсөл Claude Code, Gemini CLI болон бусад AI агентуудыг CI/CD дээрээ холбон автоматжуулсан бол яаралтай дараах арга хэмжээнүүдийг авах шаардлагатай:

Сангуудаа нэн даруй шинэчил: Google-ийн run-gemini-cli 0.1.22, Gemini CLI 0.39.1, Anthropic-ийн Claude Code 2.1.163 хувилбаруудад эдгээр алдааг зассан тул хамаарлуудаа хамгийн сүүлийн хувилбар руу нь update хийгээрэй.
Least Privilege зарчмыг хатуу мөрд: Олон нийтээс үүсгэгдэж болох issues, pull_request зэрэг триггер дээр ажиллаж буй ажлын урсгалд бичих эрхтэй (write-permission) GITHUB_TOKEN бүү олго. Хамгаалалтгүй workflow-д өндөр нууцлалтай cloud түлхүүрүүдийг (Secrets) шууд бүү дамжуул.
Хүрээлэн буй орчныг тусгаарла (Isolation): AI агентууд ажиллаж буй контейнерийг сүлжээний хувьд зөвхөн хэрэгцээт домайнуудтай харилцахаар (allowlist) хязгаарлаж, эх кодын бичигдэх эрхийг read-only горимд байлгах нь зүйтэй.
Вендорын "Default" тохиргоонд шууд бүү найд: Том технологийн компаниудын өгсөн заавар код хүртэл production шаардлага хангадаггүй болохыг энэ удаагийн олдвор санууллаа. Танай системд AI нэвтэрч л байгаа бол орж буй аливаа гадны текст (Prompt, Issue body, PR comment)-ийг аюултай өгөгдөл (Untrusted Input) гэж үзэн тусгайлан ариутгах (sanitize) ёстой.

AI агентуудын эрин үед програм хангамжийн аюулгүй байдал зөвхөн "код зөв ажиллаж байна уу" гэдгээр хэмжигдэхээ больжээ. Моделууд ухаантай болох тусам түүнийг хамгаалж буй хүрээ дэд бүтэц илүү ухаалаг, бат бөх байх ёстойг энэхүү сургамж сануулж байна.

Эх сурвалж: Novee Security Research, GitHub Security Advisories (GHSA-wpqr-6v78-jr5g), CVE-2026-12537, CVE-2026-54316.