Нэг ч товшилтгүйгээр системд нэвтрэх "Plugin4Shell": AI кодчиллын агент бүрийн аюулгүй байдал ганхав

Хөгжүүлэгчийн ертөнцөд нэг бичигдээгүй хууль байдаг: Хэрэв та гуравдагч сан эсвэл плагиныг commit-ийн 40 оронтой Git SHA хешээр (SHA pinning) хатуу түгжсэн бол тэр кодонд ямар ч хакер чимээгүйхэн өөрчлөлт оруулж чадахгүй. Энэ нь хамгаалалтын багууд болон код хянагчдын итгэж найддаг хамгийн найдвартай багана байв.

Гэвч энэ итгэл үндсээрээ нуран унасныг аюулгүй байдлын AIR Security судалгааны баг дэлгэлээ. Тэдний илрүүлсэн "Plugin4Shell" хэмээх эмзэгшил нь өнөөгийн технологийн зах зээлийг тэргүүлж буй дөрвөн том AI агент болох Anthropic-ийн Claude Code, OpenAI-ийн Codex, Microsoft-ийн GitHub Copilot, Google-ийн Gemini CLI-ийг бүгдийг нь нэгэн зэрэг хамарсан "AI агентын экосистемийн анхны хангамжийн сүлжээний (supply-chain) цоорхой" болж түүхэнд бичигдлээ.

Хамгийн түгшүүртэй нь: Энэ бол ямар ч хэрэглэгчийн үйлдэл шаардахгүй "Zero-Click Remote Code Execution" (RCE) юм.

---

Git-ийн ганц энгийн логик агент системүүдийг хэрхэн хуурав?

Хөгжүүлэгчид AI агентынхаа боломжийг тэлэхийн тулд marketplace буюу нээлттэй сангуудаас төрөл бүрийн плагин суулгадаг. Аюулгүй байдлыг хангахын тулд уг плагинуудыг найдвартай шалгагдсан тодорхой хувилбарын Commit SHA-аар түгждэг.

Гэвч AIR Security-ийн шинжээчдийн тогтоосноор, эдгээр бүх агент Git-ээс шаардлагатай хувилбарыг татахдаа git checkout <commit-sha> хийдэг боловч татагдсан ажлын сан (working tree) үнэхээр тухайн SHA хештэй таарч байгаа эсэхийг огт шалгадаггүй байжээ!

Халдагч дараах замаар хамгаалалтыг нэвтэлж байв:

1. Халдагч нэр хүндтэй плагины эх код байрлах репозиторт (жишээ нь Bitbucket эсвэл компанийн өөрийн self-hosted Git сервер) хандалт олж авах эсвэл өөрөө эзэмшдэг байна.
2. Git дээр яг тэр түгжсэн commit SHA-тай ижил нэртэй branch (салаа) үүсгээд, түүнийгээ default болгон тохируулна.
3. Git нь өгөгдөл татахдаа Commit Hash болон Branch Name хоёр давхацсан үед салбарын нэрийг (branch reference) эн тэргүүнд уншдаг.
4. Үүний үр дүнд агент шалгагдсан цэвэр commit-ийг татаж байна гэж итгэх боловч халдагчийн хортой код бүхий branch-ийг татаж, хөгжүүлэгчийн төхөөрөмж дээр ажиллуулдаг.

(Тэмдэглэл: GitHub өөрөө SHA хештэй төстэй салбар үүсгэхийг хориглодог ч Bitbucket, GitLab болон хувийн Git серверүүдэд ийм нэршил чөлөөтэй зөвшөөрөгддөг тул хорлон сүйтгэх боломж өргөн байжээ).

---

Яагаад энэ "Zero-Click" буюу хэт аюултай вэ?

Энгийн плагины халдлагад хэрэглэгч ямар нэг шинэ тохиргоо хийх, баталгаажуулах товч дарах шаардлагатай байдаг. Харин Plugin4Shell яагаад "Zero-Click" болсон бэ?

Учир нь Claude Code болон Codex зэрэг системүүд арын фондоо (background) плагинуудыг автоматаар шинэчилдэг (auto-update) механизмтай. Репозиторын эзэн хортой салбараа түлхээд орхиход л агентууд хэрэглэгчид ямар ч мэдэгдэл өгөлгүйгээр цаанаа git checkout хийж, хортой кодыг машинд шууд байршуулж байв.

AI агент нь хөгжүүлэгчийн бүрэн эрхээр (user privilege) терминал дээр ажилладаг тул энэхүү RCE нь халдагчид дараах өгөгдлүүдэд саадгүй хандах эрх олгосон гэсэн үг:

• Хөгжүүлэгчийн локал төхөөрөмж дээрх бүх эх код
• Орчны хувьсагчид (.env) хадгалагдсан API түлхүүрүүд, AWS/GCP нууц үгс
• Дотоод сүлжээ болон үйлдвэрлэлийн системд хандах SSH түлхүүрүүд

---

Том тоглогчид хэрхэн хариу үйлдэл үзүүлэв?

Асуудал нийтэд ил болсноос хойш компаниуд дараах шийдвэрүүдийг гаргажээ:

• Anthropic: Асуудлыг нэн даруй хүлээн зөвшөөрч, Claude Code 2.1.179 шинэчлэлтээр git checkout-ийн дараа git rev-parse HEAD ашиглан commit hash-ийг заавал тулгаж шалгадаг болгож засварлав.
• OpenAI: Түргэн арга хэмжээ авч, Codex 0.146.0 хувилбарт шалгалтын логикийг шинэчлэн хамгаалалт хийв.
• Google: Хөгжүүлэлтийн шатанд байсан Gemini CLI-г засахгүйгээр шууд зах зээлээс татаж, "deprecated" болгож буйгаа мэдэгдлээ.
• Microsoft / GitHub: GitHub Copilot-ийн холбогдох модульд patch бүрэн гараагүй бөгөөд аюулгүй байдлын шинжээчидтэй нөхцөл байдлыг шалгаж буйгаа илэрхийлээд байна.

---

Хөгжүүлэгчид юуг анхаарах ёстой вэ?

Энэхүү хэрэг явдал AI агент хөгжүүлэлтийн салбарт том сургамж боллоо. "Агентууд маш ухаалаг ажиллаж байгаа ч тэднийг ажиллуулж буй суурь дэд бүтэц (Git, shell, packaging) уламжлалт программ хангамжийн л түвшинд байна" гэдгийг харууллаа.

Хэрэв та өдөр тутмын ажилдаа AI агентууд ашигладаг бол дараах алхмуудыг нэн даруй хийхийг зөвлөж байна:

1. Агентаа яаралтай update хий: Claude Code, Codex болон бусад CLI агентуудаа хамгийн сүүлийн хувилбар руу шинэчил.
2. Auto-update-ийг хязгаарла: Хөгжүүлэлтийн агентдаа шалгагдаагүй плагинуудыг автоматаар татах эрх бүү олго.
3. Хандалтын тусгаарлалт (Sandboxing): Агентуудыг өөрийн үндсэн host систем дээр бус, түр хугацааны контейнер (Dev Containers, Docker) эсвэл тусдаа хэрэглэгчийн эрхээр ажиллуулах дадалд шилж.
4. Репозиторын эх үүсвэрийг хяна: Гадны эх сурвалжтай, хувийн сервер дээр байрлах баталгаагүй плагины сангуудыг ашиглахаас зайлсхий.

AI агентууд код бичих хурдыг 10 дахин нэмэгдүүлж байгаа ч тэдний аюулгүй байдлын шалгуур уламжлалт DevOps-ийн суурь зарчмууд дээр л тогтож байгааг Plugin4Shell санууллаа.

Эх сурвалж: AIR Security, The Hacker News, shattered.io