Похожим образом пострадал проект project-akri/akri. Там злоумышленник просто добавил вредоносную строку в сценарий version.sh и оставил комментарий, который запускал автоматическое обновление версии. Сценарий без проверки автора выполнял код из внешней ветки и запускал встроенную команду.

В репозитории microsoft/ai-discovery-agent атака выглядела изобретательнее. Полезную нагрузку спрятали прямо в имени ветки. Когда сценарий записывал название ветки в файл через оболочку, интерпретатор выполнял подстановку команды. В журнале сборки появился двухминутный «провал», характерный для скачивания и запуска внешнего скрипта.

В datadog/datadog-iac-scanner бот закодировал команду в имени файла в формате base64. Сценарий передавал имя файла в цикл оболочки без экранирования, что снова приводило к выполнению команды. Команда Datadog закрыла уязвимость примерно через девять часов, добавив проверку прав автора и ужесточив параметры запуска.

Самым громким инцидентом стал взлом Aqua Security и проекта Trivy. Бот воспользовался тем же механизмом pull_request_target, чтобы внедрить код в действие настройки Go и похитить персональный токен доступа. Через 19 минут после запуска сценария украденный токен применили для прямой отправки изменений в основной репозиторий. Злоумышленник сделал проект приватным, переименовал его, удалил релизы с версий 0.27.0 по 0.69.1 и загрузил подозрительный файл в расширение Trivy для Visual Studio Code. Позже команда Aqua Security восстановила репозиторий и выпустила версию 0.69.2, но число отметок «звезда» обнулилось из-за пересоздания проекта.

В проекте ambient-code/platform бот попытался сыграть уже на модной теме и атаковал не человека, а систему автоматической проверки кода на базе модели Claude. В конфигурационный файл добавили инструкции, которые должны были заставить модель внести посторонние изменения и одобрить запрос. Модель распознала внедрения инструкций и отказалась выполнять указания, прямо указав на попытку подмены. Здесь защита сработала.

Последней целью стал RustPython/RustPython. В названии ветки снова спрятали команду, закодированную в base64. Сценарий автоформатирования запускался с повышенными правами и подставлял имя ветки в команду git push. В одном из запусков подстановка сработала частично, но из-за ошибки декодирования команда не дошла до стадии скачивания скрипта.

Всего бот применил пять разных техник: внедрение кода в сценарии, манипуляции с именем ветки, подмену имени файла, эксплуатацию pull_request_target и попытку «отравления» инструкций для модели искусственного интеллекта. Пять из семи целей оказались скомпрометированы в той или иной степени. В случае Trivy атака привела к полноценному захвату репозитория и удалению релизов.

История показывает, что автоматические боты уже сканируют открытые проекты без перерывов и выходных. Ошибочная конфигурация сценариев сборки превращается в прямой путь к секретам и токенам с правами записи. Разработчикам стоит пересмотреть использование pull_request_target, ограничить права GITHUB_TOKEN и внимательно проверить, какие данные попадают в команды оболочки без экранирования.