Az MI‑ellátási lánc új réme: hamis papírral is támadnak

A szoftverellátási lánc sebezhetőségei eddig főként kártevők és zsarolóvírusok révén kerültek be a köztudatba, azonban most egy lényegesen egyszerűbb módszer is elérhetővé vált a támadóknak: rosszindulatú vagy hamisított API-dokumentációval is megvezethetők az MI-alapú kódoló ügynökök. A veszélyt az újonnan indult Context Hub nevű szolgáltatás példája is jól illusztrálja, amely API-dokumentációkat közvetít közvetlenül a fejlesztői MI-ügynököknek, ám nagyon laza tartalomszűrés mellett.

Hamis dokumentáció, mérgezett kód

Két hete Andrew Ng, a Stanford professzora és MI-vállalkozó indította el a Context Hubot azzal a céllal, hogy rendszerezett, naprakész API-dokumentációt nyújtson. A platformon bárki benyújthat dokumentációmódosításokat GitHub pull requesten keresztül, amelyeket a karbantartók gyorsan elfogadnak – sokszor mindenféle automatikus vagy manuális ellenőrzés nélkül. Így a hibás, akár szándékosan mérgezett kódrészletek, álhivatkozások feltűnésmentesen bekerülhetnek a hivatalos anyagok közé.

Mickey Shmueli, aki a lap.sh szolgáltatást is készítette, bemutatott egy proof-of-concept támadást: pusztán dokumentációba rejtett álhivatkozásokat kell bemásolni, amelyeket az MI-ügynök – minden figyelmeztetés nélkül – átvesz a requirements.txt-be vagy a generált kódba. Az eljárás hatékonyságát mutatja, hogy 97 lezárt pull request közül egyetlen sem esett át valódi biztonsági szűrésen: sem automatikus kódellenőrzés, sem csomaghivatkozás-figyelés nincs.

Az MI nem ismeri fel a veszélyt

Shmueli kísérletében két áldokumentációt hozott létre a Plaid Link és a Stripe Checkout API-hoz, mindkettő hamis PyPI-csomagot ajánlott. Az Anthropic különböző MI-modelljei változó megbízhatósággal voltak képesek azonosítani a veszélyt: a legerősebb Opus-modell az esetek 75 százalékában figyelmeztetett, ám még így is fennállt a lehetősége a hamis csomagok kódba kerülésének. A Haiku-modell minden alkalommal gond nélkül beírta a mérgezett csomagot a projektfájljaiba.

Továbbá nemcsak a Context Hubra jellemző ez a kockázat: minden, közösségi dokumentációkra építő rendszer ki van téve annak, hogy a fejlesztői MI-ügynökök rosszindulatú utasításokat értelmeznek hibátlan adatokként. Később Simon Willison fejlesztő arra is rámutatott, hogy az ilyen láncokon keresztül érkező, nem ellenőrzött tartalom csak egyike a legalattomosabb MI-kockázatoknak – a fejlesztőknek érdemes letiltani a rendszerek hálózati vagy privát adatokhoz való hozzáférését, ha ki akarják zárni ezeket a támadásokat.

2026, adminboss, go.theregister.com alapján