เครื่องมือเขียนโค้ด AI ของ Coinbase ถูกโจมตีด้วยช่องโหว่ CopyPasta

การวิเคราะห์ผู้ช่วยเขียนโค้ด AI ของ Coinbase เปิดเผยช่องโหว่การแทรกคำสั่งพรอมต์รูปแบบใหม่ที่เรียกว่า 'CopyPasta' ผู้โจมตีฝังคำสั่งอันตรายไว้ภายในคอมเมนต์มาร์กดาวน์ในไฟล์โปรเจกต์ เช่น README.md และ LICENSE.txt คอมเมนต์เหล่านี้ถูกผู้ช่วย AI ถือว่าเป็นแหล่งอ้างอิงที่เชื่อถือได้ ทำให้เครื่องมือสร้างซ้ำโค้ดที่เป็นอันตรายในทุกไฟล์ที่สร้างขึ้น

ช่องโหว่นี้อาศัยการพึ่งพาบริบทของใบอนุญาตและเอกสารของโมเดล AI หลังจากการป้อนข้อมูลครั้งแรก ผู้ช่วยจะรวมเพย์โหลดที่ถูกฝังไว้ในระหว่างขั้นตอนการสังเคราะห์โค้ด ซึ่งอนุญาตให้ตรรกะที่เป็นอันตรายแพร่กระจายอย่างต่อเนื่องทั่วทั้งฐานโค้ด นักวิจัยได้สาธิตว่าเพียงคอมเมนต์เดียวที่ถูกเจาะระบบสามารถนำไปสู่การแทรกประตูหลังและการโจรกรรมข้อมูลประจำตัวในกระบวนการสร้าง

Coinbase ได้ยืนยันการรับรายงานช่องโหว่และกำลังดำเนินการตรวจสอบความปลอดภัยอย่างละเอียด ขั้นตอนทันทีรวมถึงการทำความสะอาดข้อมูลไฟล์ การลบคอมเมนต์มาร์กดาวน์ และการใช้การตรวจสอบบริบทในกระบวนการพรอมต์ AI บริษัทมีแผนที่จะเปิดตัวโมเดลที่ได้รับการแก้ไขและเผยแพร่แนวทางที่อัพเดตเพื่อการใช้งานผู้ช่วยเขียนโค้ดอย่างปลอดภัย การตรวจสอบความปลอดภัยภายนอกก็อยู่ในระหว่างดำเนินการเพื่อป้องกันการโจมตีซัพพลายเชนในลักษณะเดียวกัน