Уявіть: ви просите AI-асистента клонувати незнайомий репозиторій з GitHub і налаштувати залежності. Звичне завдання для будь-якого розробника, який активно використовує AI-інструменти. Але всередині репозиторію — прихований скрипт, і через кілька секунд ваша машина вже під чужим контролем.
За даними The Decoder, саме такий сценарій продемонстрували дослідники безпеки під час тестування Claude Code — CLI-інструменту від Anthropic для автоматизації розробки. Інструмент виконав шкідливе програмне забезпечення з публічного репозиторію без жодної верифікації джерела і надав атакувальнику повний контроль над системою.
Для більшості видань це «ще один AI-баг». Для AI-білдерів — це нагадування, що архітектурна проблема довіри в агентних системах нікуди не ділась.
Що сталося і як це працює
Claude Code — не просто чат-бот. Це повноцінний AI-агент, який читає файли, виконує команди в терміналі, взаємодіє з git і може автономно вирішувати складні задачі розробки. Саме ця автономність стала точкою входу для атаки.
Механізм атаки простий. Атакувальник розміщує в публічному GitHub-репозиторії шкідливий код — у скриптах, Makefile або у файлах конфігурації, які Claude Code читає автоматично. Коли розробник просить інструмент «подивитись на проект» або «запустити setup», той чесно виконує всі інструкції з репозиторію — включно зі шкідливими.
Типовий ланцюжок атаки:
- Атакувальник готує публічний репозиторій із прихованим шкідливим кодом або інструкціями для агента
- Розробник просить Claude Code «налаштувати» або «перевірити» проект
- Claude Code виконує команди з репозиторію без додаткової верифікації
- Атакувальник отримує shell-доступ, витягує API-ключі або встановлює backdoor
Claude Code має вбудований механізм підтвердження дій. Але дослідники показали, що в певних конфігураціях — зокрема при використанні прапорця --dangerously-skip-permissions (назва красномовна) — інструмент виконує код без жодних запитань.
Чому це системна проблема, а не баг
Це не технічна вразливість, яку можна «пропатчити» одним оновленням. Це архітектурна проблема довіри, яка стосується всього класу AI-агентів з доступом до файлової системи та виконання коду.
Claude Code, Cursor, GitHub Copilot Workspace, Devin — всі побудовані за однаковим принципом: читай контекст середовища, виконуй дії. Але якщо контекст містить шкідливі інструкції, агент їх теж прочитає і — залежно від налаштувань — виконає. Це різновид prompt injection, але на рівні файлової системи, а не чат-інтерфейсу.
Різниця між легітимним і шкідливим setup.sh — виключно в намірах автора репозиторію. AI-агент цього не бачить. Він бачить лише інструкцію.
Практика безпеки для AI-білдерів
Якщо ви активно використовуєте Claude Code або подібні інструменти, ось конкретні дії вже сьогодні:
- Ніколи не запускайте AI-агента з правами адміна на робочій машині без ізоляції
- Ізолюйте агентів у Docker або VM при роботі з незнайомим кодом — навіть якщо це «просто подивитись»
- Зберігайте .env і API-ключі окремо від директорій, де працює AI-агент
- Перевіряйте репозиторій вручну перед тим, як передавати його AI-інструменту
- Аудитуйте команди, які пропонує виконати агент, перш ніж підтверджувати їх
- Не обходьте permissions-режим заради зручності — він існує саме для таких випадків
Окремо варто уважно ставитися до файлів у директорії .claude/commands/ і файлу CLAUDE.md у чужих репозиторіях — це офіційні механізми кастомних інструкцій для Claude Code, і саме їх атакувальник може використати для впровадження шкідливих команд непомітно.
Висновок AiiN: ми на початку шляху AI-безпеки
Ця вразливість — не привід відмовлятися від AI-агентів. Це нагадування, що потужність інструменту і безпека його використання — різні речі, і між ними — відповідальність розробника.
AI-індустрія зараз проходить той самий шлях, який веб-розробка пройшла у 2000-х: спочатку «просто зробимо так, щоб працювало», потім масштабні інциденти, потім поява OWASP, стандартів і культури безпечного програмування. AI-безпека сьогодні — на першому кроці цього шляху.
Anthropic і інші компанії вже реагують: з'являються sandbox-режими, детальніші логи дій агентів, гранулярне управління правами. Але до формування галузевих стандартів ще далеко — і поки що відповідальність лежить на самих розробниках.
Практичне правило: ставтеся до AI-агента як до молодшого підрядника-розробника, якому ви ніколи не дасте sudo без нагляду. Довіра будується поступово — і в людей, і в агентів.