Monster Connect

🤖 เอเจนต์ AI ตรวจจับโค้ดอันตราย กลับถูกหลอกให้รันโค้ดของแฮกเกอร์


Friendly Fire เป็นช่องโหว่ที่ AI Now Institute ค้นพบ โดยสามารถหลอก Claude Code และ Codex ให้รันโค้ดที่เป็นอันตรายบนเครื่องของนักพัฒนาได้โดยตรง แม้ AI เหล่านี้จะถูกสร้างมาเพื่อตรวจสอบความปลอดภัยของโค้ดโอเพนซอร์สก็ตาม


การโจมตีนี้ใช้เทคนิคซ่อนคำสั่งในไลบรารีที่ดูเหมือนปกติ เมื่อ AI ดาวน์โหลดมาวิเคราะห์ก็จะถูกหลอกให้รันโค้ดนั้นโดยอัตโนมัติ ทำให้เครื่องเป้าหมายติดมัลแวร์ทันที องค์กรที่ใช้เครื่องมือ AI ช่วยตรวจสอบโค้ดควรตั้งค่าให้ต้องยืนยันจากมนุษย์ก่อนรันทุกครั้ง

🔴 ช่องโหว่ GhostApproval เปิดทางให้โค้ดอันตรายเข้าควบคุมเครื่องนักพัฒนา
นักวิจัยความปลอดภัยจาก Wiz ค้นพบช่องโหว่ร้ายแรงในโปรแกรมช่วยเขียนโค้ด AI ชั้นนำถึง 6 ตัว ที่เปิดโอกาสให้ผู้ไม่หวังดีสามารถเข้าควบคุมเครื่องของนักพัฒนาได้โดยผ่านการยินยอมที่ดูเหมือน innocuous กลไกนี้ใช้ symlink ที่ซ่อนในโปรเจกต์เพื่อเปลี่ยนเส้นทางการเขียนไฟล์ไปยังตำแหน่งที่อ่อนไหว
เครื่องมือที่ได้รับผลกระทบได้แก่ Amazon Q Developer, Anthropic Claude Code, Augment, Cursor, Google Antigravity และ Windsurf ซึ่งเป็นเครื่องมือที่นักพัฒนาใช้เป็นประจำทุกวัน การโจมตีไม่ซับซ้อน เพียงแค่นักพัฒนาเปิดโปรเจกต์จากแหล่งที่ไม่น่าเชื่อถือและอนุมัติคำขอแก้ไขไฟล์ที่ดูธรรมดา ผู้โจมตีก็สามารถเขียนสคริปต์อันตรายหรือเปลี่ยนแปลงการตั้งค่าความปลอดภัยได้ทันที
นักพัฒนาและองค์กรควรตรวจสอบโปรเจกต์จากภายนอกอย่างระมัดระวัง จำกัดสิทธิ์การเข้าถึงของ AI และอบรมพนักงานให้ตระหนักถึงความเสี่ยง การป้องกันที่ดีคือการไม่ไว้วางใจการอนุมัติอัตโนมัติ
#ไซเบอร์ซีเคียวริตี้ #ช่องโหว่