Säkerhetsforskare på Wiz har dokumenterat ett ovanligt fall av artificiell intelligens som skapade själva sårbarheten som ett annat AI-system sedan hittade och utnyttjade: en automatiserad GitHub Copilot-fix introducerade ett allvarligt skriptinjektionsfel i ett Snowflake-förråd med öppen källkod, och Wizs autonoma Red Agent upptäckte buggen, beväpnade den inom Snowflakentials interna dagar och drog ur Snowflakes interna system. felaktig kodlandning.

Resultaten, som publicerades på måndagen på Wiz Research-bloggen, nådde snabbt framsidan av Hacker News, där utvecklare diskuterade vad det betyder för den växande praxisen att låta AI-kodningsassistenter begå ändringar direkt till produktionsförråd. Avsnittet läses som ett varningsskott för branschens rusning mot AI-författad kod. För fler berättelser om verktygen som omformar mjukvaruutveckling, följ vår AI-nyhetsbevakning.

Hur en AI Autofix skapade en sårbarhet

Enligt Wiz började problemet den 18 juni 2026, när en pull-begäran i det offentliga `snowflake-connector-net`-förrådet uppdaterade ett GitHub Actions-arbetsflöde som heter `jira_issue.yml`. Åtagandet, medförfattare av GitHub Copilots Autofix-funktion, ersatte ett säkert kodningsmönster - ett som skickade opålitliga problemtitlar genom en miljövariabel och byggde JSON-nyttolaster med "jq" - med direkt mallinterpolation av användarkontrollerad indata i ett skalskript.

Arbetsflödet kördes varje gång någon GitHub-användare öppnade ett problem på arkivet. Eftersom problemtiteln interpolerades direkt i ett `run:`-block, räckte ett enda citat i en skapad titel för att bryta sig ur skalkommandot och exekvera godtycklig kod på GitHubs Actions-runners.

En villkorlig kontroll i arbetsflödet som verkade vara en säkerhetsgrind visade sig vara ineffektiv: vid problemhändelser är `github.event.pull_request`-kontexten alltid null, så villkoret utvärderas till sant för varje användare. I praktiken kan vem som helst på GitHub trigga arbetsflödet.

Wiz säger att det säkra mönstret som AI-assistenten tog bort hade medvetet implementerats för att förhindra exakt denna klass av skalinjektion - ett historiskt sammanhang som den automatiserade assistenten inte hade någon möjlighet att känna till.

Red Agent hittade det — och vägrade att misslyckas

Det som gör fallet anmärkningsvärt är hur felet upptäcktes. Wiz's Red Agent, en autonom offensiv säkerhetsagent, skannade Snowflakes GitHub-organisation med en CI/CD-analysfunktion när den flaggade arbetsflödet som sårbart för skriptinjektion.

När agenten försökte utnyttja felet, misslyckades dess första nyttolast - som använde ett kommentartecken för att trunkera skalkommandot - med ett bash-syntaxfel. Istället för att sluta, skrev forskarna, analyserade Red Agent självständigt felet, justerade dess nyttolast för att korrekt stänga skalsyntaxen och lyckades exfiltrera Jira-referenser till en out-of-band callback-server. Återuppringningen kom från en GitHub Actions-löpare, som bär referenserna i base64-kodad form.

Den exfiltrerade tokenen tillhörde ett konto med läsbehörighet över Snowflakes teknik-, säkerhetsefterlevnads- och bug-bounty-spårningsprojekt i Jira.

Fem dagar från injektion till plåster

Tidslinjen för avslöjande som publicerats av Wiz går snabbt:

  • 18 juni 2026 — det sårbara mönstret introduceras av en commit medförfattare av Copilot Autofix
  • 23 juni 2026 - Wiz identifierar, utnyttjar och rapporterar felet till Snowflake via HackerOne
  • 23 juni 2026 - Snowflake korrigerar arbetsflödet samma dag och återställer det säkra "env:"-variabeln och "jq"-parsingsmönstret
  • 24 juni 2026 - den exponerade Jira-tokenen återkallas och roteras
  • 25 juli 2026 — samordnat offentliggörande

Snowflake sa till Wiz att dess undersökning inte hittade några bevis för obehörig åtkomst. "Uppslöjandet mottogs den 23 juni 2026, och det undersöktes omedelbart och åtgärdades, och vår undersökning fann inga bevis för obehörig åtkomst", säger företaget i ett uttalande och tillade att det arbetar med Wiz för att dela lärdomarna med den bredare industrin.

Den större lektionen: AI-kod behöver granskas av människa

Wiz drog tre takeaways från incidenten, och de sträcker sig långt bortom Snowflake.

För det första måste AI-genererade pull-förfrågningar genomgå samma statiska analys och säkerhetsgranskning som mänsklig kod. Kodningsassistenter förutsäger kod från probabilistiska mönster, vilket innebär att de tyst kan återinföra föråldrade eller osäkra konstruktioner som ett arkiv redan hade eliminerat.

För det andra kollapsar upptäcktsfönster. Sårbarheten var aktiv i endast fem dagar innan en automatiserad agent hittade och validerade den – en takt som förutsätter att angripare som skannar med liknande verktyg kan röra sig lika snabbt. Snabba patchcykler och kortlivade referenser blir baskrav.

För det tredje behöver organisationer skyddsräcken som hindrar AI-assistenter från att ersätta strukturerade dataparsrar med direkt stränginterpolation – just den regression som inträffade här.

Incidenten landar i ett ögonblick av bredare introspektion av industrin om AI-genererad kod. En rad nya studier och verkliga fall har visat att AI-kodningsverktyg med säkerhet kan introducera buggar, säkerhetshål och underhållshuvudvärk vid sidan av deras produktivitetsvinster. Det som gör Snowflake-fallet utmärkande är den slutna slingan: AI:n som orsakade problemet och AI:n som fångade det agerade båda autonomt, med människor som granskade efterdyningarna.

För säkerhetsteam är meddelandet från Wiz trubbigt. Frågan är inte längre om AI-skriven kod kommer att innehålla sårbarheter – det är om din detekteringspipeline, mänsklig eller automatiserad, kan hitta dem snabbare än någon annans agent gör.

Ligg före AI-kurvan

AI-kodningsverktyg och autonoma agenter förändrar mjukvarusäkerheten i realtid. Bokmärk AI Buzz Wire för daglig rapportering om AI-branschen.

Läs mer AI-nyheter →