Автоматизовані AI-кодери — мрія розробника. Вони клонують репозиторії, запускають скрипти, встановлюють залежності і можуть самостійно виконувати десятки кроків без єдиного підтвердження від людини. Але саме це і робить їх привабливою мішенню для атакувальників. За даними The Decoder, Claude Code — AI-асистент від Anthropic для автоматизації розробки — виконав прихований malware з публічного GitHub-репозиторію без жодної верифікації, надавши зловмисникам повний контроль над системою.

Це не теоретична вразливість і не лабораторний proof-of-concept. Це реальна демонстрація того, що достатньо одного недовіреного репозиторію, щоб ваша машина стала частиною ботнету, а ваші API-ключі та credentials опинились у чужих руках. І жертва при цьому не натискала жодного «небезпечного» посилання — просто попросила AI допомогти з кодом.

Коли потужність агента стає його слабким місцем

Claude Code — це не чат-бот, який дає поради. Це повноцінний агент із доступом до файлової системи, терміналу, мережі та системних процесів. У типовому workflow він може:

• клонувати репозиторії з GitHub та інших джерел;
• виконувати shell-команди та автоматизовані скрипти;
• встановлювати пакети через npm, pip, cargo та інші менеджери;
• читати, модифікувати та створювати файли на диску;
• взаємодіяти з локальними сервісами та мережевими ресурсами.

Така архітектура — це свідомий вибір, а не недогляд. Без цих можливостей агент не зможе реально автоматизувати розробку. Але разом із потужністю приходить фундаментальний ризик: якщо агент не верифікує код перед виконанням, він стає ідеальним вектором доставки шкідливого програмного забезпечення. І проблема не унікальна для Claude Code — Cursor, GitHub Copilot Workspace, Devin та інші агентичні інструменти стикаються з тим самим компромісом між зручністю та безпекою.

Анатомія атаки через репозиторій

Схема атаки проста, але ефективна. Зловмисник створює GitHub-репозиторій, що виглядає як корисний проєкт: шаблон, бібліотека, набір інструментів. У ньому приховані скрипти, які активуються під час стандартних дій — git clone, npm install або виконання setup-файлів. Коли розробник просить Claude Code «розібратися, як працює цей репозиторій», агент клонує код і може запустити скрипти в рамках аналізу. Payload виконується раніше, ніж будь-хто помітить проблему.

Ключова відмінність від традиційного фішингу полягає в тому, що жертва нічого підозрілого не робить. Вона використовує свій звичний workflow: «AI, подивись на цей код». Саме ця нормальність і робить атаку небезпечною — вона вбудована в щоденну практику розробника і не викликає жодних тривожних сигналів у поведінці користувача.

Що це означає на практиці для AI-білдерів

Якщо ви використовуєте Claude Code або будь-який інший агентичний інструмент у своєму workflow — ось конкретні кроки для зменшення ризиків:

• Sandbox-ізоляція обов'язкова. Запускайте AI-агентів у Docker-контейнерах або VM із мінімальними правами. Production credentials не повинні бути доступні з середовища розробки.
• Принцип найменших привілеїв. Агент не повинен мати доступ до ~/.ssh, ~/.aws або .env із реальними ключами. Використовуйте окремі профілі або vault-рішення на кшталт 1Password CLI чи AWS Vault.
• Approval-step для незнайомих репозиторіїв. Claude Code підтримує permission modes — використовуйте їх. Будь-який репозиторій, якого немає у вашому довіреному списку, має потребувати явного підтвердження перед клонуванням.
• Моніторинг мережевих з'єднань. Шкідливий код майже завжди намагається «додзвонитися додому». Outbound-з'єднання до незнайомих IP під час роботи агента мають тригерити алерт.
• Аудит shell-команд у логах. Claude Code фіксує команди, які виконує. Якщо у вас є автономні або заплановані задачі — перегляд логів повинен бути частиною рутини.

Висновок AiiN: проблема глибша за один інструмент

Ця вразливість — симптом більшої системної проблеми. Ми надаємо AI-агентам дедалі більше автономії, але культура безпеки навколо них залишається на рівні, який не відповідає реальним можливостям цих інструментів. Розробник 2024 року міг попросити ChatGPT пояснити код — і максимум ризику був неправильний алгоритм. Розробник 2026 року просить агента виконати код — і ризик зовсім інший.

Anthropic та команди інших агентичних AI-інструментів мають вирішити фундаментальне питання: як дати агенту достатньо свободи для продуктивної роботи та одночасно забезпечити верифікацію виконуваного коду? Можливі шляхи — статичний аналіз перед виконанням, обов'язкова sandbox-ізоляція за замовчуванням, явний approval для будь-якого запуску незнайомого коду. Поки цих механізмів немає з коробки, відповідальність повністю на стороні розробника.

AI-автоматизація справді прискорює розробку. Але автоматизований malware прискорюється ще швидше — і поки ми не збудуємо безпекову культуру навколо агентичних інструментів, кожен новий workflow стає потенційним вектором атаки.