В тесте Adversa AI Copilot CLI передал локальные файлы через инструкции на веб-странице

Исследователи Adversa AI показали, как зашифрованные инструкции на веб-странице заставляют GitHub Copilot CLI читать локальные файлы и передавать их содержимое на сторонний адрес. Результаты испытаний опубликованы 6 октября. Речь идёт о демонстрации атаки, а не о подтверждённой утечке у реального пользователя.

В тесте агент работал в режиме автопилота, а пользователь просил его прочитать подготовленную страницу. Она предлагала расшифровать данные и предоставляла два ключа. Сборка первого требовала чтения локальных файлов. После неудачной расшифровки второй ключ открывал инструкции для сетевого запроса, в адрес которого попадало содержимое этих файлов.

Успех зависел от модели. По данным Adversa AI, цепочка срабатывала в части запусков с Microsoft mai-code-1.1-flash, а две проверенные модели GPT-5.6 отвергали тот же набор инструкций. Эти результаты относятся к конкретному тесту.

Руководитель разработки GitFlic Эдуард Тихомиров в комментарии «Группы Астра» предлагает ограничивать доступ агентов к секретам и исходящему трафику. Он также рекомендует фиксировать чтение файлов, запуск кода и сетевые обращения, чтобы выявлять действия, не связанные с задачей пользователя.