AI-nyhederWiz AI-finder sårbarhed i Snowflakes GitHub
Wiz Research's autonome AI-agent fandt en alvorlig sårbarhed i Snowflakes GitHub-workflow, som kunne have givet uvedkommende adgang til Jira-data. Snowflake rettede fejlen samme dag.
Fundet
Wiz Research's 'Red Agent' – en selvkørende AI-sikkerhedsagent – opdagede en script-injection-sårbarhed i et af Snowflakes offentlige GitHub-repositorier. Sårbarheden opstod, da en pull-request blev flettet den 18. juni 2026. Enhver kunne udløse den ved at oprette en GitHub-issue med en særligt formuleret titel, hvilket gav mulighed for at køre vilkårlige kommandoer i en GitHub Actions-runner.
Alvoren
Red Agent formåede at udnytte sårbarheden til at stjæle Jira-legitimationsoplysninger, herunder en token for 'qa@snowflake.net'. Det gav læseadgang til Snowflakes engineering-, security- og bug bounty-projekter. Wiz understregede, at Copilot Autofix var medforfatter på PR'en, men at det er uklart, om selve kodeændringen var AI-genereret.
Retelsen
Wiz rapporterede sårbarheden den 23. juni 2026, og Snowflake rettede den samme dag. De roterede den kompromitterede token og verificerede via logfiler, at kun Wiz havde haft adgang. GitHub Advanced Security-scannere havde ikke opdaget problemet. Wiz opfordrer nu til strengere kontrol af AI-genererede pull-requests.
Din sikkerhed
Denne hændelse viser, at AI-genereret kode kan introducere kritiske fejl, som eksisterende værktøjer overser. For dig som bruger betyder det, at selv store virksomheder kan have sårbarheder. Vær ekstra opmærksom på sikkerhedsopdateringer og skift adgangskoder, hvis en tjeneste du bruger, har været ramt.
- Sårbarheden blev introduceret den 18. juni 2026 via PR #1218 i snowflakedb/snowflake-connector-net.
- Wiz Red Agent udnyttede fejlen til at eksfiltrere Jira-token og -email base64-kodet via en out-of-band callback.
- GitHub Advanced Security-scannere analyserede arbejdsgangen, men opdagede ikke script-injection-fejlen.
- Snowflake patchworkflowet samme dag, roterede legitimationsoplysningerne og bekræftede via logs, at kun Wiz havde adgang.
- Sårbarheden blev rapporteret via HackerOne-programmet, rapport #3819931.
- Wiz understreger, at AI-genererede pull-requests skal gennemgå samme sikkerhedskontrol som menneskelig kode.
Du bør holde øje med sikkerhedsopdateringer fra Snowflake og lignende tjenester, da AI-genereret kode kan skjule fejl – skift adgangskoder, hvis du er bekymret.
Kilder:
Hacker News: AI →
Genfortalt i egne ord af AI-nyheder.com · Tjek altid originalkilden, før du handler på vigtige oplysninger.