Типичный программист

На Black Hat USA показали, что публичный issue от постороннего человека без единого права на репозиторий разворачивает кодового агента против кода, который он должен чинить. Проверяли не экзотические сборки, а конфигурации, которые вендоры поставляют по умолчанию. У Claude Code инъекция через текст issue довела до выполнения кода на раннере, чтения произвольных файлов и кражи ключей GitHub и Anthropic. У Gemini CLI нашли command injection в лаунчере контейнера через подложенный .gemini/.env: код выполняется на хосте ещё до старта песочницы. У Codex два прохода в одной джобе делили один checkout, и первый успевал переписать AGENTS...

54 из них не существовало CVE-2025-6613 выглядел безупречно: критическое переполнение буфера в парсинге JSON в SQLite, внятное техническое описание, высокий CVSS. Заявка прошла первичную проверку и получила критический балл. Когда исследователи JFrog открыли исходники, выяснилось, что уязвимой функции в коде нет вообще, а описанный путь выполнения выдуман от начала до конца. Дальше JFrog проверил остальные advisory того же GitHub-аккаунта. Из 55 штук 54 оказались полностью сфабрикованными. В единственном оставшемся был настоящий баг, обёрнутый в непроверенные метаданные. Дыру видно невооружённым...

» Никлас Грун описал знакомую многим сцену. Коллега генерирует имплементацию в Claude Code и отправляет её в ревью, не читая. Ревьюер оставляет замечания. Коллега копирует замечания обратно в модель, а ответ модели — обратно в тред. Человек в этой цепочке не участвует в мышлении, он работает транспортом. Отсюда и термин — meat proxy, мясной прокси. Патч компилируется, тесты проходят, а внутри — неозвученные допущения и решения, которые автор не сможет объяснить, когда запахнет жареным. Дальше ревьюеру приходится реконструировать замысел, которого у отправителя никогда и не было: он тратит на чужой PR больше времени, чем потратил бы, написав всё сам...

4 августа в 09:35 UTC в npm приехал keyv@6.0.0 — обычный на вид релиз библиотеки для key-value хранилища. Внутри лежал «preinstall»: «node setup.mjs», который срабатывал на голом npm install, ещё до того как вы успели что-либо запустить. Дальше — по классике Shai-Hulud, только злее. Скрипт собирает токены GitHub, npm, AWS, GCP, Azure, Stripe, Vault и Kubernetes, выскребает секреты прямо из памяти раннеров GitHub Actions и найденными publish-токенами заражает следующие пакеты. Подтверждённый охват — 2 234 отравленные версии в 444 пакетах двенадцати организаций. Атакующие увели GitHub-аккаунт мейнтейнера, запушили вредоносные файлы прямо в main и сразу нарезали релиз...