Mozilla 0DIN: Repo GitHub “sạch” có thể khiến AI coding agent chạy mã độc
"Researchers from Mozilla's 0DIN demonstrated a concept where an AI coding agent such as Claude Code can be tricked into executing a malicious payload from an apparently clean GitHub repository. The attack chain abuses normal setup instructions, a package that prompts the user to run an initialization command, and a DNS TXT record fetched at runtime to spawn an interactive shell with the developer's privileges; no CVE is mentioned and the proposed mitigation is to disclose and inspect the full execution chain of setup commands and dynamically fetched code."
Tấn công có thể dẫn tới chiếm quyền thông qua interactive shell chạy dưới quyền người dùng nhà phát triển, đồng thời né được kiểm tra vì không cần exploit hay cảnh báo rõ ràng. Rủi ro chính nằm ở việc agent tự động tin vào chuỗi thiết lập và nội dung tải động từ runtime.
Nếu bị khai thác, sự cố có thể gây gián đoạn phát triển, rò rỉ bí mật và tăng chi phí điều tra do khả năng xâm nhập không qua phê duyệt lệnh. Tác động vận hành phụ thuộc vào mức độ tổ chức cho phép AI agent chạy lệnh và kiểm soát chuỗi setup.
Các nhà nghiên cứu thuộc Mozilla Zero Day Investigative Network (0DIN) mô tả một kịch bản tấn công theo hướng “chuỗi thiết lập” (setup chain), trong đó một AI coding agent khi được giao nhiệm vụ clone và khởi tạo một GitHub repository tưởng như vô hại có thể bị dẫn đến thực thi mã độc. Điểm đáng chú ý là kẻ tấn công không cần cung cấp exploit hay lệnh bất thường để người dùng phê duyệt.
Theo 0DIN, phương thức này dựa trên ba thành phần nhìn bề ngoài không gây nghi ngờ: (1) repository có hướng dẫn setup chuẩn như cài phụ thuộc và khởi tạo dự án; (2) một Python package cố tình từ chối chạy cho đến khi người dùng thực hiện lệnh khởi tạo, đồng thời trả về thông báo yêu cầu chạy python3 -m axiom init; (3) lệnh khởi tạo này gọi shell script để lấy cấu hình từ DNS TXT record do kẻ tấn công kiểm soát, rồi thực thi giá trị đó như một lệnh.
Nếu thành công, kẻ tấn công có thể chiếm được interactive shell chạy với quyền của người dùng nhà phát triển, từ đó truy cập biến môi trường, khóa API và cấu hình cục bộ.
Khuyến nghị: AI agent và đội bảo mật cần hiển thị và kiểm tra toàn bộ chuỗi lệnh setup, bao gồm script và nội dung được tải động khi runtime, thay vì chỉ dựa vào việc repository “trông sạch”.