I ricercatori di sicurezza di Wiz hanno documentato un caso insolito di intelligenza artificiale che ha creato proprio la vulnerabilità che un altro sistema di intelligenza artificiale ha poi trovato e sfruttato: una correzione automatizzata di GitHub Copilot ha introdotto un grave difetto di iniezione di script in un repository open source di Snowflake e l'agente rosso autonomo di Wiz ha scoperto il bug, lo ha utilizzato come arma e ha estratto le credenziali dai sistemi interni di Snowflake, il tutto entro pochi giorni dall'arrivo del codice difettoso.

I risultati, pubblicati lunedì sul blog Wiz Research, hanno rapidamente raggiunto la prima pagina di Hacker News, dove gli sviluppatori hanno discusso su cosa significhi per la pratica crescente di consentire agli assistenti di codifica dell'intelligenza artificiale di applicare le modifiche direttamente ai repository di produzione. L'episodio viene letto come un avvertimento per la corsa del settore verso il codice creato dall'intelligenza artificiale. Per ulteriori storie sugli strumenti che rimodellano lo sviluppo software, segui la nostra copertura di notizie sull'intelligenza artificiale.

Come una correzione automatica dell'IA ha creato una vulnerabilità

Secondo Wiz, il problema è iniziato il 18 giugno 2026, quando una richiesta pull nel repository pubblico "snowflake-connector-net" ha aggiornato un flusso di lavoro di GitHub Actions chiamato "jira_issue.yml". Il commit, scritto in collaborazione con la funzionalità Autofix di GitHub Copilot, ha sostituito un modello di codifica sicuro, che trasmetteva titoli di problemi non attendibili attraverso una variabile di ambiente e creava payload JSON con "jq", con l'interpolazione diretta del modello di input controllato dall'utente in uno script di shell.

Il flusso di lavoro veniva eseguito ogni volta che un utente GitHub apriva un problema nel repository. Poiché il titolo del problema è stato interpolato direttamente in un blocco `run:`, una singola virgoletta in un titolo creato era sufficiente per uscire dal comando shell ed eseguire codice arbitrario sui runner Actions di GitHub.

Un controllo condizionale nel flusso di lavoro che sembrava essere un cancello di sicurezza si è rivelato inefficace: sugli eventi di problema, il contesto `github.event.pull_request` è sempre nullo, quindi la condizione è valutata come vera per ogni utente. In pratica, chiunque su GitHub potrebbe attivare il flusso di lavoro.

Wiz afferma che il modello di sicurezza rimosso dall'assistente AI è stato deliberatamente implementato per prevenire esattamente questa classe di shell injection, un contesto storico che l'assistente automatizzato non aveva modo di conoscere.

L'agente rosso l'ha trovato e si è rifiutato di fallire

Ciò che rende il caso straordinario è il modo in cui è stato scoperto il difetto. Il Red Agent di Wiz, un agente di sicurezza offensivo autonomo, stava scansionando l'organizzazione GitHub di Snowflake con una funzionalità di analisi CI/CD quando ha contrassegnato il flusso di lavoro come vulnerabile all'iniezione di script.

Quando l'agente ha tentato di sfruttare la falla, il suo primo payload, che utilizzava un carattere di commento per troncare il comando della shell, è fallito con un errore di sintassi bash. Invece di fermarsi, hanno scritto i ricercatori, Red Agent ha analizzato autonomamente l’errore, ha regolato il suo payload per chiudere correttamente la sintassi della shell ed ha esfiltrato con successo le credenziali Jira su un server di callback fuori banda. La richiamata è arrivata da un runner di GitHub Actions, che trasportava le credenziali in formato codificato base64.

Il token sottratto apparteneva a un account con accesso in lettura ai progetti di ingegneria, conformità alla sicurezza e monitoraggio delle taglie dei bug di Snowflake in Jira.

Cinque giorni dall'iniezione al cerotto

La sequenza temporale della divulgazione pubblicata da Wiz si muove velocemente:

  • 18 giugno 2026: il modello vulnerabile viene introdotto da un commit scritto in collaborazione da Copilot Autofix
  • 23 giugno 2026: Wiz identifica, sfrutta e segnala la falla a Snowflake tramite HackerOne
  • 23 giugno 2026 — Snowflake applica le patch al flusso di lavoro lo stesso giorno, ripristinando la variabile sicura `env:` e il modello di analisi `jq`
  • 24 giugno 2026: il token Jira esposto viene revocato e ruotato
  • 25 luglio 2026 — informativa pubblica coordinata

Snowflake ha detto a Wiz che le sue indagini non hanno trovato prove di accesso non autorizzato. "La divulgazione è stata ricevuta il 23 giugno 2026 ed è stata immediatamente indagata e risolta, e la nostra indagine non ha trovato prove di accesso non autorizzato", ha affermato la società in una nota, aggiungendo che sta lavorando con Wiz per condividere gli insegnamenti con il settore in generale.

La lezione più importante: il codice dell'intelligenza artificiale necessita di un controllo di livello umano

Wiz ha tratto tre conclusioni dall'incidente, che vanno ben oltre Snowflake.

Innanzitutto, le richieste pull generate dall’intelligenza artificiale devono essere sottoposte alla stessa analisi statica e revisione della sicurezza del codice umano. Gli assistenti di codifica prevedono il codice in base a modelli probabilistici, il che significa che possono reintrodurre silenziosamente costrutti deprecati o non sicuri che un repository aveva già eliminato.

In secondo luogo, le finestre di scoperta stanno crollando. La vulnerabilità è rimasta attiva solo per cinque giorni prima che un agente automatizzato la trovasse e la convalidasse, un ritmo che presuppone che gli aggressori che scansionano con strumenti simili possano muoversi altrettanto rapidamente. Cicli rapidi di patch e credenziali di breve durata stanno diventando requisiti di base.

In terzo luogo, le organizzazioni hanno bisogno di guardrail che impediscano agli assistenti di intelligenza artificiale di sostituire i parser di dati strutturati con l’interpolazione diretta delle stringhe – proprio la regressione che si è verificata in questo caso.

L’incidente avviene in un momento di più ampia introspezione del settore sul codice generato dall’intelligenza artificiale. Una serie di studi recenti e casi reali hanno dimostrato che gli strumenti di codifica basati sull’intelligenza artificiale possono introdurre con sicurezza bug, buchi di sicurezza e problemi di manutenzione insieme ai guadagni di produttività. Ciò che rende distintivo il caso Snowflake è il circuito chiuso: l’intelligenza artificiale che ha causato il problema e l’intelligenza artificiale che lo ha rilevato agivano entrambe in modo autonomo, con gli esseri umani che ne esaminavano le conseguenze.

Per i team di sicurezza, il messaggio di Wiz è schietto. La domanda non è più se il codice scritto dall’intelligenza artificiale conterrà vulnerabilità, ma se la tua pipeline di rilevamento, umana o automatizzata, sarà in grado di trovarle più velocemente di quanto faccia l’agente di qualcun altro.

Resta al passo con la curva dell'intelligenza artificiale

Gli strumenti di codifica AI e gli agenti autonomi stanno cambiando la sicurezza del software in tempo reale. Aggiungi ai preferiti AI Buzz Wire per i report giornalieri sul settore dell'intelligenza artificiale.

Leggi altre notizie sull'AI →