GitHub Copilot CLI có thể bị lừa rò rỉ bí mật qua prompt injection
"Researchers reported that GitHub Copilot CLI can be tricked via indirect prompt injection and cryptographic context injection (CCI) when running in autopilot mode and fetching attacker-controlled web content. The attack can cause the agent to decrypt hidden instructions, read local secrets such as .env data, and exfiltrate them to a remote URL; GitHub validated the report but said it was not treating it as a product vulnerability."
Nguy cơ rò rỉ bí mật cục bộ và exfiltration qua tác nhân AI; tác động tăng khi người dùng cho phép công cụ đọc nội dung web không tin cậy.
Có thể ảnh hưởng đến quy trình phát triển và làm tăng rủi ro lộ thông tin nhạy cảm; cần thêm kiểm soát vận hành với công cụ AI tự động.
Các nhà nghiên cứu an ninh cho biết GitHub Copilot CLI có thể bị khai thác khi chạy ở autopilot mode và truy xuất nội dung web do kẻ tấn công kiểm soát. Chuỗi tấn công kết hợp indirect prompt injection và Cryptographic Context Injection (CCI), trong đó trang web chứa chỉ dẫn được mã hóa cùng khóa giải mã đặt ngay trên cùng nguồn. Khi tác nhân thực thi lệnh giải mã, nó có thể đọc dữ liệu cục bộ như .env, ghép các bí mật này vào khóa giả, rồi gửi kết quả ra URL từ xa do kẻ tấn công kiểm soát.
Theo báo cáo, mức độ thành công phụ thuộc vào mô hình AI được chọn. Một số phiên dùng mô hình của Microsoft đã thực thi chuỗi tấn công trong một phần thử nghiệm, trong khi các biến thể OpenAI GPT-5.6 được ghi nhận là từ chối payload. GitHub đã xác nhận và đánh giá báo cáo, nhưng cho rằng đây không phải là lỗ hổng sản phẩm vì người dùng phải chủ động yêu cầu truy xuất nội dung không tin cậy.
Khuyến nghị: không bật autopilot khi xử lý nguồn không tin cậy, hạn chế cho tác nhân đọc web bên ngoài, tách biệt secrets khỏi môi trường làm việc, và giám sát các hành vi truy cập tệp/đi mạng bất thường của công cụ AI.