AI coding agenti i malware iz cistih repozitorijuma: sta DevSecOps timovi treba da zakljucaju pre sledeceg GitHub bootstrapa

Mozilla 0din tim je pokazao vrlo nezgodan moderan failure mode za AI coding agente: repozitorijum moze da izgleda cisto, setup koraci mogu da deluju normalno, a opasna akcija se ipak desi tek nekoliko indirection koraka kasnije. U prikazanom primeru agent prolazi kroz uverljiv bootstrap tok, udara na lazni package-init, cita konfiguraciju iz DNS TXT zapisa i na kraju otvara reverse shell, dok korisnik vidi samo bezazlenu poruku da je okruzenje spremno.

To je bitno zato sto meta nije samo source code. Kompromitovan developerski host ili cloud shell moze da otkrije API kljuceve, browser session-e, lokalne kredencijale, deployment pristup, dokumenta i sve ostalo cemu agent ima pristup u ime korisnika. Ovo je mnogo bolje razumeti kao AI-assisted supply-chain problem nego kao izolovanu pricu o jednom modelu ili jednom paketu.

Zasto je ovaj napadni put drugaciji od obicnog zlonamernog repoa

Klasicni maliciozni repoi cesto zavise od ociglednih red flag-ova: sumnjivi binarni fajlovi, cudni URL-ovi ili installer ponasanje koje developer ipak primeti. 0din scenario je operativno opasniji zato sto svaki pojedinacni korak moze da izgleda rutinski. README trazi standardni bootstrap, package komanda izgleda legitimno, a pravi payload dolazi tek kroz indirektan konfiguracioni put. Ako security alat gleda samo snapshot repoa, lako promasi stvarni execution chain.

• Repo moze da izgleda dovoljno cisto da prodje casual review i mnoge scanner-first tokove.
• Agent je nagradjen za to da bude od pomoci, pa fallback korak za resavanje greske moze aktivirati bas napadacev put.
• Blast radius lako izlazi van samog projekta i zahvata browser, lokalne fajlove, tokene i cloud session-e.
• Isti obrazac moze da se prilagodi raznim coding agentima, ne samo jednom vendoru.

Sta DevSecOps timovi prvo treba da promene

1) Tretiraj AI bootstrap akcije kao privilegovano izvrsavanje

Ako coding agent moze da klonira repo, pokrece package manager, zove shell ili cita lokalnu konfiguraciju, on pripada istoj rizicnoj klasi kao automatizacija sa developerskim dosegom. To znaci jaci sandboxing, egress kontrolu, uzak filesystem scope i bolju session higijenu umesto podrazumevanog poverenja.

2) Smanji skriveno mrezno poverenje tokom setupa

Prikazani lanac se oslanjao na indirection preko DNS TXT zapisa i naknadno izvrsavanje skripte. Timovi treba da provere da li developerska okruzenja i AI sandbox-i mogu slobodno da dohvataju arbitrarne DNS-bootstrap endpointe, da curl-uju remote setup sadrzaj ili da otvaraju reverse shell bez dodatnih kontrola. Cak i lagana egress politika i review gate mogu ozbiljno smanjiti ovu klasu napada.

3) Odvoji secrets od eksperimentalnog coding rada

Prakticni blast radius je mnogo manji kada AI coding okruzenje ne nasledjuje siroke browser state-ove, dugotrajne cloud kredencijale ili production deployment tokene. Session izolacija, short-lived credentials i repo-specific secret scope sada su jos bitniji jer prompt-driven alati vrlo brzo ulanacavaju normalne komande.

Prioritetna response checklista

Zakljucak

Poenta nije da odustanemo od AI coding agenata. Poenta je da prestanemo da ih tretiramo kao pametni autocomplete bez operativnih privilegija. Cim agent moze da klonira, inicijalizuje, povuce i izvrsi nesto u ime developera, bootstrap repozitorijuma postaje deo enterprise attack surface-a. Timovi koji sada zategnu sandbox granice, egress politiku i secret izolaciju bice mnogo spremniji kada ova tehnika predje iz proof-of-concept faze u rutinsku zloupotrebu.