Το Copilot Autofix Άνοιξε Ένεση Κελύφους στην CI/CD Πίπλιν της Snowflake

Μια διόρθωση ασφαλείας που γράφτηκε από το Copilot Autofix του GitHub και ενσωματώθηκε σε αποθετήριο της Snowflake στις 18 Ιουνίου 2026 αφαίρεσε ένα πρότυπο εξαγόμενης εισόδου και άφησε τη CI/CD διοχέτευση της εταιρείας εκτεθειμένη σε εντολή ένεσης, και πέντε ημέρες αργότερα, ένας αυτόνομος ερευνητικός πράκτορας AI βρήκε την τρύπα, την εκμεταλλεύτηκε και εξήγαγε ενεργές διαπιστευτήριες Jira από έναν εκτελεστή GitHub Actions, Wiz Research αποκάλυψε στις 17 Αυγούστου 2026.

Η ευπάθεια βρισκόταν στο jira_issue.yml, ένα workflow GitHub Actions στο snowflakedb/snowflake-connector-net, το δημόσιο αποθετήριο για το .NET data connector της Snowflake. Το workflow ενεργοποιούνταν κάθε φορά που κάποιος άνοιγε ένα ζήτημα (issue) στο GitHub και ενσωμάτωνε τον τίτλο του ζητήματος (κείμενο πλήρως ελεγχόμενο από το άτομο που το υπέβαλε) απευθείας σε ένα script κελύφους. Επειδή το trigger ήταν issues: opened, οποιοσδήποτε λογαριασμός GitHub στο διαδίκτυο μπορούσε να το προσεγγίσει χωρίς έλεγχο ταυτότητας.

Το «Red Agent» της Wiz, ένα αυτόνομο εργαλείο ερευνητικής ασφάλειας που λειτουργεί μέσω του προγράμματος bug bounty της Snowflake στο HackerOne, σημείωσε το workflow, δημιούργησε μια λειτουργική εκμετάλλευση και εξάγαγε ένα διακριτικό API του Jira από το περιβάλλον του εκτελεστή. Η Snowflake διόρθωσε το workflow την ίδια ημέρα που έλαβε την αναφορά, 23 Ιουνίου 2026, μετέτρεψε το διακριτικό μια ημέρα αργότερα, και ενημέρωσε τη Wiz ότι τα αρχεία ελέγχου (audit logs) δεν έδειξαν καμία άλλη οντότητα να έχει αγγίξει τα εκτεθειμένα συστήματα κατά τη διάρκεια του πενθήμερου παραθύρου.

Το «Autofix» Αφαίρεσε το Καθαριστικό

Η δέσμευση (commit) που εισήγαγε το πρότυπο δυνατότητας ένεσης ήρθε μέσω PR #1218, «SNOW-2069227: Update jira workflows», συγχωνεύτηκε στις 18 Ιουνίου 2026. Το ιστορικό του pull request δείχνει έναν ανθρώπινο συγγραφέα που εργάζεται στην αυτοματοποίηση Jira από τον Αύγουστο 2025 — και, ενδιάμεσα, μια δέσμευση συγγραφέα-συγγραφέα από το Copilot Autofix powered by AI, το bot GitHub Advanced Security που δημιουργεί προτεινόμενες διορθώσεις για ειδοποιήσεις σάρωσης κώδικα.

Η πρόταση AI άλλαξε τον τρόπο με τον οποίο το workflow διαχειριζόταν τον τίτλο του ζητήματος. Ο υπάρχων κώδικας διέθετε τον τίτλο μέσω μιας μεταβλητής env: και δημιουργούσε το JSON payload του με jq --arg, ένα πρότυπο που κρατά το μη αξιόπιστο κείμενο εκτός του κελύφους. Η προτεινόμενη αντικατάσταση το αντικατέστησε με άμεση επέκταση συμβολοσειράς:

“ run: | TITLE=$(echo '${{ github.event.issue.title }}' | sed 's/"/\"/g' | sed "s/'/\'/g") “

Η διαφυγή sed εκτελείται μετά το μηχανισμό προτύπων του GitHub που έχει ήδη αντικαταστήσει τον τίτλο στο script. Ένα μονό εισαγωγικό στον τίτλο διασπά το περιτύλιγμα echo '...', και ό,τι ακολουθεί εκτελείται ως κέλυφος. Η δική της τεκμηρίωση για το Copilot Autofix περιγράφει τη δυνατότητα ως τη δημιουργία «μιας ενιαίας προτεινόμενης διόρθωσης για μια ειδοποίηση, την οποία εσείς ελέγχετε και εφαρμόζετε» — το βήμα ελέγχου είναι όπου αυτή πέρασε.

Το workflow περιείχε επίσης μια προϋπόθεση φραγής που έδειχνε ότι περιορίζει ποιος μπορεί να το ενεργοποιήσει:

“ if: (github.event_name == 'issues' && github.event.pull_request.user.login != 'whitesource-for-github-com[bot]') “

Σε συμβάντα ζητημάτων, το github.event.pull_request είναι πάντα null, έτσι η σύγκριση αξιολογείται πάντα ως αληθής. Κάθε χρήστης GitHub περνούσε το φίλτρο.

Ένας Πράκτορας σε Κάθε Πλευρά της Εκμετάλλευσης

Η πρώτη προσπάθεια εξαγωγής του Red Agent απέτυχε. Το payload του χρησιμοποίησε τον χαρακτήρα σχολίου # για να «καταπιεί» το υπόλοιπο της εγχόμενης γραμμής, αλλά το σχόλιο κατανάλωσε επίσης την κλειστή παρένθεση του TITLE=$(...), και ο εκτελεστής επέστρεψε σφάλμα σύνταξης bash αντί να εκτελέσει. Σύμφωνα με τη δημοσίευση της Wiz, ο πράκτορας ανάλυσε το σφάλμα, ξαναέγραψε το payload του για να κλείσει το μπλοκ κελύφους με ; echo ', και προσπάθησε ξανά.

Το λειτουργικό payload, που παραδόθηκε ως τίτλος ζητήματος, κωδικοποίησε σε base64 τις μεταβλητές περιβάλλοντος του εκτελεστή JIRA_API_TOKEN, JIRA_USER_EMAIL και JIRA_BASE_URL και τις έστειλε σε έναν εξωτερικό ακροατή μέσω curl. Η κλήση επιστροφής ήρθε από έναν εκτελεστή GitHub Actions που φιλοξενούταν στο Azure μέσα σε δευτερόλεπτα.

Το ανακτημένο διακριτικό ταυτοποιήθηκε ως qa@snowflake.net εναντίον του snowflakecomputing.atlassian.net, με πρόσβαση ανάγνωσης σε όλα τα έργα μηχανικής, συμμόρφωσης ασφαλείας και παρακολούθησης bug bounty της Snowflake.

Η αντιμετώπιση της Snowflake, που συγχωνεύθηκε στο PR #1402 στις 23 Ιουνίου 2026, αποκατέστησε τη ασφαλή μεταβλητή env: και το πρότυπο ανάλυσης jq --arg. Το διακριτικό Jira ανακλήθηκε και μετατράπηκε στις 24 Ιουνίου 2026. Η Wiz δήλωσε ότι διέγραψε με ασφάλεια όλα τα δεδομένα που προσπελάστηκαν κατά τη διάρκεια των δοκιμών proof-of-concept.

«Η Snowflake εκτιμά την υπεύθυνη αναφορά της Wiz και τη συνεργασία γύρω από αυτά τα ευρήματα μέσω του προγράμματος αποκάλυψης ευπαθειών και bug bounty, HackerOne», δήλωσε η εταιρεία σε ανακοίνωση που δημοσιεύθηκε μαζί με την αναφορά της Wiz. «Η αποκάλυψη ελήφθη στις 23 Ιουνίου 2026, και διερευνήθηκε και αντιμετωπίστηκε άμεσα, και η έρευνά μας δεν βρήκε αποδείξεις μη εξουσιοδοτημένης πρόσβασης».

Τι Δείχνει το Πενθήμερο Παράθυρο

Η αποκάλυψη τοποθετείται στη μέση ενός τεκμηριωμένου προτύπου: αλλαγές με υποβοήθηση AI που περνούν από έλεγχο ταχύτερα από τις ασφαλιστικές υποθέσεις γύρω τους. Τα δικά της αρχεία ελέγχου (audit logs) της Snowflake είναι ό,τι κάνουν αυτό το περιστατικό κατανοητό: επιτρέπουν στην εταιρεία να δηλώσει, και στη Wiz να επιβεβαιώσει, ότι το παράθυρο έκθεσης δεν παρήγαγε πρόσβαση τρίτων. Η ανάλυση των audit logs της Snowflake επιβεβαίωσε ότι κανένα εξωτερικό τρίτο μέρος δεν πρόσβασε το σημείο λήψης κατά το πενθήμερο παράθυρο.

Η χρονογραμμή επίσης συμπιέζει μια ακολουθία που η βιομηχανία θεωρεί υποθετική. Ένας βοηθός κώδικα αφαίρεσε ένα αμυντικό πρότυπο που είχε τοποθετηθεί ειδικά για την αποτροπή ένεσης κελύφους, επειδή ο βοηθός δεν είχε καταγραφή του λόγου ύπαρξης του προτύπου. Ένας επιθετικός πράκτορας τότε βρήκε και εξοπλίστηκε με το αποτέλεσμα μέσα σε ημέρες, αυτοδιορθώνοντας την εκμετάλλευσή του ενάντια σε ζωντανές εξόδους σφαλμάτων. Η πλευρά της εκμετάλλευσης εκτελέστηκε χωρίς άνθρωπο στο πληκτρολόγιο· στην πλευρά του κώδικα, το AI δημιούργησε την αλλαγή αλλά ένας άνθρωπος εφάρμοσε την πρόταση και το συγχώνευσε — που είναι ακριβώς το βήμα ελέγχου που απέτυχε.

Η αναφορά της Wiz συνιστά ότι τα pull requests που δημιουργούνται από AI πρέπει να περνούν από την ίδια στατική ανάλυση όπως ο κώδικας ανθρώπων, ότι οι ομάδες πρέπει να μειώσουν τη διάρκεια ζωής των διαπιστευτηρίων ώστε να ταιριάζει με τις ταχύτητες αυτόματης ανακάλυψης, και ότι τα φράγματα (guardrails) πρέπει να εμποδίζουν τους πράκτορες από την αντικατάσταση δομημένων αναλυτών με άμεση επέκταση συμβολοσειράς. Η Check Point μετέφερε τον έλεγχο προτροπών για την κίνηση AI στα εταιρικά τείχη προστασίας νωρίτερα αυτό το καλοκαίρι, και η Unite.AI έχει καλύψει τις διαφυγές sandbox πρακτόρων και συστήματα πρακτορικής φύσης που φθάνουν σε πραγματικούς στόχους παραγωγής καθώς η επιθετική πλευρά ωριμάζει. Το περιστατικό Snowflake είναι η ίδια ιστορία που λέγεται από μέσα σε μια CI pipeline: η ευπάθεια ήταν ενεργή για πέντε ημέρες, και ο μόνος λόγος που παρουσιάζεται ως μελέτη περίπτωσης αντί για ειδοποίηση παραβίασης είναι ποιος πράκτορας έφτασε πρώτος.