Lühidalt: Kuus laialt levinud tehisintellekti kodeerimisabilist (Amazon Q Developer, Claude Code, Augment, Cursor, Google Antigravity, Windsurf) võimaldavad nn GhostApproval-nimeliste ründestsenaariumide käigus sümllingi-ärakasutuse abil arendajate süsteemides märkamatult koodi käivitada.
Wizi teadlased tõestasid sümllingihaavatavuse esinemist kuues populaarses tehisintellekti kodeerimisabilises, mis võimaldab ründajal käivitada koodi näiliselt ohutus projektis — süsteem küsib küll luba tegevuseks, mis tundub kahjutu, kuid kirjutab tegelikult tundlikesse failidesse.
Wizi teadlased tuvastasid süstemaatilise nõrkuse failide kirjutamistoimingute käsitlemises kuues laialdaselt kasutatavas tehisintellekti kodeerimisabilises. Ründemudel kasutab ära sümllingi-mehhanisme (sümboolseid linke): agent saab manipuleeritud koodihoidla, milles on ette valmistatud sümllingid, ning talle antakse korraldus muuta näiliselt kahjutuid faile. Süsteem esitab loataotluse selle ohutuna näiva toimingu jaoks, samal ajal kui tegelik kirjutustoiming suunatakse sümllingi kaudu mujale — sihtmärgiks on tundlik või turvakriitiline fail arendaja süsteemis.
Haavatavus mõjutab Amazon Q Developerit, Anthropicu Claude Code’i, Augmenti, Cursorit, Google Antigravity’t ja Windsurfi. Neid tööriistu integreeritakse üha enam arendustöövoogudesse, mistõttu saavad need kirjutamis- ja käivitamisõigused insenere arvutites. Õnnestunud sümllingirünnak võib süstida pahavara konfiguratsioonifailidesse, ehitusskriptidesse või süsteemi sõltuvustesse ning seeläbi arendaja arvuti püsivalt kompromiteerida.
Turvajuhtidele (CISOde) on see haavatavus kriitilise tähtsusega: see puudutab automatiseeritud arendustööriistade kaudu kasvavat tarneahela ründepinda. Arendaja, kes klooni nakatunud koodihoidla ja kasutab tehisintellekti abilist, muutub tahtmatult sissetungi vahendiks. Haavatavus näitab, et tavapärased loamudelid — kahtlaste muudatuste kuvamine enne nõusoleku andmist — ei toimi sümllingi ümbersuunamise korral. Organisatsioonid peaksid kehtestama tehisintellekti kodeerimistööriistadele piiravad failide kirjutamisõigused ning kontrollima koodihoidlaid enne kasutamist kahtlaste sümllingite suhtes.
Allikas: thehackernews.com · Avaldatud 9. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 abil.