AI agenti za programiranje ostavili više od 13.000 internih snimaka ekrana u javnim repozitorijumima
Kada im se zatraži da pokažu izmenu, agenti slike postavljaju u javni repozitorijum na ličnom nalogu programera, gde ih bezbednosni tim firme ne vidi.
Bezbednosna firma Glow pronašla je više od 13.000 internih slika programera iz više od 300 organizacija u javnim repozitorijumima na GitHubu. Među njima su evidencije naplate korisnika i ekrani funkcija koje još nisu objavljene.
Uzrok je isti u svim slučajevima koje je Glow pregledao. Programer zatraži od AI agenta da snimcima ekrana pokaže da izmena radi, kako bi kolege videle stanje pre i posle. GitHubov alat komandne linije do 1. septembra nije mogao da priloži sliku uz zahtev za izmenu koda. Agenti su zato sami nalazili zaobilazno rešenje: pravili su poseban javni repozitorijum, najčešće na ličnom nalogu programera, i slike postavljali tamo.
Pošto agent radi na računaru zaposlenog, a repozitorijum je van naloga firme, bezbednosni tim to ne vidi. U jednom slučaju, kod proizvođača sa više od 100.000 zaposlenih, tako su javno ostale evidencije naplate jednog komunalnog preduzeća.
Glow je pogođene organizacije počeo da obaveštava 9. septembra, a nalaze je objavio 29. septembra. Firma prodaje softver koji, kako navodi, sprečava ovakve radnje agenata, što treba imati u vidu pri čitanju njenih nalaza.
Šta uraditi
- Pregledati lične GitHub naloge programera i potražiti javne repozitorijume koje nisu sami napravili.
- Agentima oduzeti pravo da prave javne repozitorijume.
- Ažurirati GitHubov alat komandne linije, koji sada ume da priloži sliku.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove