Обычная фраза в диалоге с ИИ-помощником оказалась достаточной, чтобы запустить скрытую отправку секретов с компьютера разработчика. Команда CERT-EU показала, как модифицированные расширения Claude Code и Pi получают доступ к данным напрямую, не заставляя языковую модель выполнять подозрительные команды. Для кражи не понадобился взлом самой модели.
Для проверки взяли Claude Code 2.1.304 и Pi 1.3.0, а затем изменили локальные копии двух настоящих сторонних дополнений. Одно из расширений на момент исследования набирало около 1,6 млн загрузок за месяц. Испытания прошли в изолированной лаборатории с тестовыми учётными данными. Публичные версии пакетов не меняли, случаев реального заражения работа не подтверждает.
Вредоносный код встроили в штатные обработчики событий. В Pi добавили обработчик before_agent_start, а в Claude Code изменили механизм, который уже вызывал хук UserPromptSubmit при отправке запроса. Такие обработчики выполняются самой программной оболочкой агента. Расширению не требуется разрешение модели, отдельный вызов инструмента или изменение её параметров.
Скрытая функция ждала фразы «lgtm, ship it», обычного замечания при проверке кода. Пока условие не выполнялось, дополнения работали как прежде и ничего не передавали. После появления фразы обе модифицированные версии отправили данные на настроенный приёмник. CERT-EU зафиксировал два запроса, по одному от каждого расширения, хотя диалог с ИИ выглядел совершенно обычным.
В переданные сведения вошли параметры компьютера и виртуальной машины, данные учётной записи, сетевые настройки, переменные окружения и файлы, связанные с учётными данными, из рабочего каталога. Расширения действовали с правами запустившего агента пользователя. Проверенные ограничения на чтение файлов и контроль вызовов инструментов не перехватили передачу, предупреждений также не появилось.
В лаборатории код срабатывал после фразы, введённой самим пользователем. Однако разработчики CERT-EU допускают запуск и через текст из письма, вставленного журнала или результата работы инструмента, если расширение обрабатывает соответствующие события. Ранее уязвимости в хуках Claude Code уже позволяли запускать команды из настроек проекта.
Сценарий отличается от внедрения вредоносных инструкций в запросы модели. Даже без ошибки в ответе агента сторонний компонент способен читать доступные файлы и обращаться к сети. Ранее атака Plugin4Shell показала другой риск дополнений: проверенный плагин мог получить подменённый код при обновлении. Новая демонстрация касается уже поведения установленного пакета.
В CERT-EU предлагают ограничивать права всей среды агента, а не только языковой модели. Для работы с кодом рекомендуют отдельные контейнеры или виртуальные машины, краткосрочные ключи с узкими правами и контроль исходящих соединений. Установленные расширения следует учитывать, закреплять их версии и проверять обновления. Мониторинг должен охватывать действия дополнений, а не только команды ИИ.
