Вся схема строится вокруг обычного на вид GitHub-репозитория, в котором нет ни вредоносного кода, ни подозрительных команд, ни других очевидных признаков компрометации, пишет Anti-malware.
Злоумышленники используют привычное желание ИИ починить проект. В репозитории размещается Python-пакет, который при запуске специально выдает ошибку и предлагает выполнить команду инициализации.
Для разработчика это выглядит как типичная проблема при первом запуске проекта. А Claude Code воспринимает сообщение как руководство к действию и автоматически запускает рекомендованную команду, пытаясь исправить ошибку. Скрипт обращается к DNS TXT-записи, контролируемой злоумышленником, получает оттуда скрытую команду и выполняет ее. Вредоносный код при этом вообще отсутствует в репозитории, он загружается только в момент выполнения.
Такой подход осложняет обнаружение атаки — автоматические сканеры и специалисты по безопасности могут не найти ничего подозрительного при анализе проекта, поскольку опасная нагрузка появляется уже после запуска.
Если атака проходит успешно, то злоумышленник получает интерактивную оболочку с правами пользователя и может похитить API-ключи, токены, переменные окружения, локальные конфигурации и другие секреты разработчика.
Эдуард Тихомиров, технический директор GitFlic (входит в «Группу Астра») подчеркнул, что примитивный плагин или несложный скрипт нейросеть действительно сгенерирует, однако при работе с крупными корпоративными системами репозиториями на сотни тысяч строк, этого уже недостаточно.
«Также важно отметить, что появление ИИ-агентов расхолаживает некоторых специалистов. На первых порах разработчик или DevOps-инженер контролирует действия агента: проверяет команды, разрешает или блокирует их выполнение. И это критически важно, поскольку на рабочих машинах, особенно у специалистов на ведущих позициях, хранятся SSH-ключи к продакшн-серверам, конфигурации VPN, доступ к основной ветке репозитория и другие чувствительные данные.
Однако со временем такой контроль начинает восприниматься как рутина. Во многих агентах предусмотрена опция автоматического применения изменений без запроса подтверждения и именно здесь возникает реальная угроза. Даже квалифицированный специалист, в принципе способный оценить корректность действий, рискует попросту не заметить, какие именно команды выполняет агент», — говорит эксперт Эдуард Тихомиров.
