Sesi Coding AI Dirampas, Worm Shai-Hulud Menular ke 100 Repo

Sesi Coding AI Dirampas, Worm Shai-Hulud Menular ke 100 Repo

AI Risk and Resilience Report September 2026 keluaran Mandiant mengandungi satu case study yang wajib dibaca setiap developer yang menggunakan AI coding assistant: penyerang berjaya mengkompromikan sebuah penyedia software-as-a-service (SaaS), merampas sesi AI coding assistant yang aktif pada workstation seorang developer, lalu menjadikan assistant itu mekanisme penghantaran untuk infostealer dan worm penyebar diri Shai-Hulud — yang kemudian tersebar merentas kira-kira 100 repositori kod dalaman.

Case study awam itu, dirumuskan oleh The Hacker News, tidak menyatakan bila pencerobohan berlaku atau bagaimana sebenarnya sesi itu dirampas. Apa yang didokumenkan ialah kill chain yang menunjukkan betapa nipisnya sempadan di sekeliling pembangunan berbantukan AI.

Rantaian serangan: satu cadangan yang diterima

Menurut laporan Mandiant, AI assistant — yang beroperasi sebagai "trusted interpreter" dalam persekitaran itu — mengesyorkan pemasangan pakej software luaran yang telah diracun oleh penyerang. Cadangan itu diterima. Sebaik ia diterima, penyerang menggunakan sesi aktif developer itu untuk:

1. Memasang infostealer melalui pakej PyPI beracun.
2. Mengumpul GitHub OAuth tokens daripada konteks yang dikompromi.
3. Menyerahkan worm Shai-Hulud yang merebak sendiri merentas kira-kira 100 repositori kod dalaman.

Worm itu kemudian mengautomasikan kecurian rahsia repositori dan eksfiltrasi kod sumber produk milik syarikat. Sebagai langkah penutup, penyerang meracuni satu pakej dalam namespace rasmi syarikat sendiri — seorang pekerja lain kemudian menarik versi berkompromi itu dan mencetuskan jangkitan kedua di hiliran.

Perhatikan apa yang tidak berlaku: penyerang tidak perlu menghantar satu pun email phishing kepada developer, tidak perlu akses SSH, dan tidak perlu meneka repositori mana yang penting. Tooling developer sendiri yang melakukan reconnaissance.

Apa sebenarnya assistant itu

Kes ini ialah contoh klasik confused deputy — AI coding assistant memegang kepercayaan, credential dan akses rangkaian developer, tetapi membuat keputusan tentang kod pihak ketiga yang tidak boleh dipercayai. Bagi penyerang, cadangan AI yang diterima tidak berbeza daripada join request yang diberikan akses: sebaik assistant menarik masuk dependency beracun, semua yang bersambung dengan sesi itu — cache OAuth token, CI credentials, internal registry — kini boleh dicapai.

Perlu juga tepat tentang apa yang Mandiant tidak dakwa: laporan itu tidak berkata AI "dimanipulasi oleh prompt injection" dalam kes ini. Worm itu kemudian berkembang kepada varian yang memang menggunakan prompt injection (lebih lanjut di bawah). Di sini penerangannya lebih ringkas dan lebih membimbangkan — assistant mengesyorkan software beracun, manusia menerima, dan sesi itu melakukan selebihnya.

Shai-Hulud memang menyasarkan AI tooling

Shai-Hulud bukan nama baharu. Keluarga worm ini mula-mula muncul pada September 2025 dalam ekosistem npm, apabila kira-kira 40 pakej npm dikompromi dalam serangan supply chain. Menjelang 2026, penyelidikan Cloud Security Alliance mengesan pelbagai kempen merentas npm dan PyPI — termasuk gelombang Februari 2026 ("SANDWORM_MODE") yang menggunakan fake MCP server yang description tool-nya membawa blok prompt injection terbenam, disasarkan terus kepada AI coding assistant supaya membaca SSH keys, cloud credentials dan environment variables TOKEN/KEY/SECRET lalu memasukkannya ke dalam tool call tanpa memberitahu pengguna. Keluarga yang sama kemudian mengkompromikan pakej rasmi @bitwarden/cli, menyasarkan ~/.claude.json dan ~/.claude/mcp.json.

Secara berasingan — dan Mandiant serta THN menegaskan ini ialah kempen berasingan yang tidak berkaitan dengan kes ini — worm npm berkaitan Keyv pada Ogos 2026 meracuni ratusan pakej dan memasang hook untuk Claude Code dan VS Code, manakala varian Shai-Hulud pada September 2026 dikesan mengimbas 469 lokasi merentas sistem developer, alatan CI/CD, konfigurasi cloud dan fail AI tooling untuk mencari credential.

Coraknya sama untuk kesemuanya: permukaan serangan ialah mesin yang sama yang menjalankan AI tooling anda dan menyimpan deploy credentials anda. Sekali sempadan dalam gelung itu ditembusi, worm hanya perlu satu titik masuk.

Tiga kawalan yang Mandiant mahu

Panduan pertahanan laporan itu untuk pembangunan berbantukan AI ringkas dan boleh dilaksanakan:

1. Sahkan dependency pihak ketiga yang disyorkan AI terhadap cryptographic checksums dan approved allowlist — melalui IDE dan CLI verification hooks.
2. Jauhkan API keys mentah, long-lived OAuth tokens dan secret daripada capaian extension dan assistant yang berjalan dengan sesi developer.
3. Salurkan trafik dependency melalui internal repository yang terkawal (Mandiant menyebut artifact registry seperti Google Cloud Artifact Registry) dan bukannya membiarkan setiap assistant mengambil terus daripada public index.

Versi konkrit kawalan pertama, dalam workflow requirements.txt/lockfile anda:

# Treat an AI-recommended dependency like any other untrusted input:

# 1) install only with hash verification (pip/uv refuse on mismatch)
pip install --require-hashes -r requirements.txt

# 2) or verify a single artifact you already downloaded
curl -fsSL https://files.pythonhosted.org/packages/..../demo-1.2.3.tar.gz -o demo.tgz
echo "expected-sha256-here  demo.tgz" | sha256sum -c -

Anggap ia ancaman sebenar, bukan teori semata-mata. Laporan Mac 2026 Mandiant mendapati penyerang bergerak daripada menggunakan generative AI untuk mempercepatkan kerja kepada menggunakan LLM dalam malware dan serangan aktif sepanjang 2025 — rampasan Shai-Hulud ini ialah hujung spektrum "AI sebagai kenderaan penghantaran".

Pengambilan untuk developer

Kalau anda menerima pakej kerana "AI mengesyorkannya", anda baru sahaja memberikan assistant kuasa yang tidak anda beri kepada jawapan Stack Overflow rawak — namun dependency beracun tetap dependency beracun, sama ada cadangan itu datang daripada AI atau tidak. Kawalan yang berkesan sebelum AI ialah kawalan yang berkesan sekarang: lockfile dengan hash, allowlist, internal mirror, pinning, dan anggap setiap secret yang agent boleh lihat sebagai selangkah sahaja lagi daripada registry yang anda bina.

Ini menyertai corak yang semakin luas yang kami jejaki: kempen distillation industri China dan rantai backdoor Artifactory yang dieksploitasi di lapangan ialah contoh pengajaran yang sama — bekalan yang paling dipercayai developer ialah sasaran yang paling lembut. Untuk bahagian assistant pula, MCP tool poisoning menunjukkan bagaimana tool definition berniat jahat sampai kepada model, sementara gambaran lebih luas hidup dalam pillar keselamatan agen AI.

AI coding assistant anda bukan security boundary. Ia extension paling berprivilege yang pernah anda jalankan.

Sumber

• Mandiant: AI Risk and Resilience Report 2026
• The Hacker News: Attacker Hijacks AI Coding Assistant Session, Spreads Shai-Hulud Across About 100 Repositories
• Cloud Security Alliance: Shai-Hulud — npm Worm Targeting AI Developer Toolchains
• The Hacker News: 40 npm Packages Compromised in Supply-Chain Attack
• The Hacker News: Keyv-Linked npm Worm Poisons Hundreds of Packages
• The Hacker News: Shai-Hulud's Reach Just Grew to 469 Locations