對Coinbase的AI代碼助理進行分析後，發現了一個名為「CopyPasta」的新型提示注入漏洞。攻擊者將有害指令嵌入項目文件中的Markdown註釋內，包括README.md和LICENSE.txt。AI助理將這些註釋視為權威內容，導致該工具在每個生成的文件中複製惡意代碼。
該漏洞利用了AI模型對許可證和文檔上下文的依賴。在初次讀取後，助理在代碼合成階段包含了注入的有效載荷，使惡意邏輯能夠在整個代碼庫中持續傳播。研究人員演示，一條被破壞的註釋就能導致構建過程中後門插入和憑證竊取。
Coinbase已確認收到該漏洞報告，並正在進行全面的安全審查。立即採取的措施包括淨化文件輸入、移除Markdown註釋及在AI提示流程中實施上下文驗證。該公司計劃推出修補後的模型部署，並發布安全使用代碼助理的最新指南。同時，外部安全審計也在進行中，以防止類似的供應鏈攻擊。
評論 (0)