Mshale umeondoa toleo hasidi la kiendelezi cha Msimbo wa Claude wa Anthropic kwenye soko lake la kiendelezi baada ya kugundua kuwa kifurushi kimerekebishwa ili kusakinisha mlango wa nyuma wa SSH unaoendelea kwenye mashine za wasanidi programu. Katika notisi ya usalama iliyochapishwa tarehe 29 Oktoba, Mshale alisema kifurushi kilichodhibitiwa - kilichoorodheshwa kama toleo la Anthropic.claude-code 2.1.313 - hakikutengenezwa na Anthropic, na kwamba takriban watumiaji 5,000 waliathirika. Kulingana na Reuters, kampuni hiyo inawafikia watumiaji hao moja kwa moja.
Ufichuzi ni ukumbusho wa kutisha kwamba watengenezaji wa zana za usimbaji za AI sasa wanaamini na msimbo wao wa chanzo, vitambulisho, na ufikiaji wa ganda wenyewe ndio malengo ya ugavi. Kwa muktadha zaidi kuhusu shinikizo la usalama linalojengwa karibu na zana za wasanidi wa AI, angalia utangazaji wetu wa tasnia ya AI.
Dirisha la Usambazaji la Saa Mbili
Kulingana na kalenda ya matukio ya Mshale, toleo hasidi la kiendelezi lilipatikana sokoni kati ya takriban 2:27 a.m. PT na 1:35 p.m. PT mnamo Oktoba 29 - dirisha la kama saa kumi na moja. Katika kipindi hicho, msanidi programu yeyote aliyesakinisha au kusasisha hadi toleo la 2.1.313 la kiendelezi cha Msimbo wa Claude alipokea kifurushi kilichoharibiwa badala ya msimbo uliotolewa na Anthropic.
Mshale alisema iliondoa toleo hasidi sokoni mara baada ya kugunduliwa na kuzuia usambazaji zaidi. Kampuni hiyo ilienda mbali zaidi, ikifunga soko lake lote la ugani kwa muda kutoka kwa kile ilichoelezea kama tahadhari nyingi.
Kile Ugani Hasidi Ulifanya
Timu ya usalama ya mshale iliandika tabia ya kiendelezi kwa maelezo yasiyo ya kawaida. Mara tu ikiwa imewekwa, kifurushi kiliendesha nambari ambayo ilijaribu kuanzisha mlango wa nyuma unaoendelea kupitia hatua kadhaa:
- Upelelezi. Kiendelezi kilikusanya jina la mpangishi wa mashine, jina la mtumiaji, mfumo wa uendeshaji, usanifu, njia ya saraka ya nyumbani, majina ya kutofautiana kwa mazingira, saraka za kazi, barua pepe ya Git iliyosanidiwa, na anwani ya IP ya umma.
- Sindano ya ufunguo wa SSH. Ilijaribu kuongeza ufunguo wa SSH unaodhibitiwa na mshambulizi kwenye faili ya `authorized_keys` ya mashine, kuwezesha huduma ya ndani ya SSH, na kufungua njia ya nyuma ya SSH kurudi kwenye seva inayodhibitiwa na mvamizi.
- Uvumilivu. Hati za usuli zilijaribu tena njia ya kurudi nyuma takriban kila sekunde 60. Kwenye macOS, programu hasidi ilijaribu kufanya handaki kuendelea kupitia LaunchAgent; kwenye Windows, ilijaribu kusajili kazi iliyopangwa inayoendeshwa kama SYSTEM, na kurudi nyuma kwa hati.
- Kuangazia. Mashine iliyoambukizwa iliripoti maelezo ya mwenyeji na hali ya mlango wa nyuma kupitia ombi la HTTP POST kwenye sehemu ya mwisho ya `/beacon` kwenye bandari 8099.
Kwa Nini Uharibifu Huenda Kuwa Mchache
Kuna mambo mawili muhimu ya kupunguza. Kwanza, kuwezesha huduma ya ndani ya SSH inahitaji haki za msimamizi, ambazo ugani hasidi hauna kwenye mashine nyingi za macOS na Windows. Mshale alibainisha kuwa nje ya hali zisizo za kawaida ambapo kihariri kilianzishwa kwa haki za msimamizi, hitilafu katika msimbo hasidi zilisababisha hatua hii kushindwa - ikimaanisha kuwa huenda mvamizi hakuweza kuingia kupitia mtaro wa wapangishaji hao. Kiendelezi bado kiliweza kuongeza ufunguo wa SSH wa mshambuliaji, kusakinisha mbinu zake za kudumu, na kutuma maelezo ya mwenyeji kwa seva ya mshambulizi, hata hivyo.
Pili, miundombinu ya mshambuliaji sasa iko nje ya mtandao. Mshale alisema ilifanya kazi na mtoa huduma wa wingu anayepangisha seva ya kuamuru na kudhibiti ili kuiondoa, kwa hivyo ganda la nyuma na taa ya maelezo ya mwenyeji haifanyi kazi tena.
Kampuni pia ilisema kuwa haina ushahidi kwamba matoleo mengine yoyote ya upanuzi au njia rasmi za usambazaji za Anthropic ziliathiriwa.
Kuzima kwa Soko, Kukagua, na Kujenga Upya
Majibu ya mshale yalizidi kuondoa kifurushi kimoja kibaya. Kampuni hiyo ilisema ilifanya ukaguzi kamili wa upatikanaji wa soko na kuthibitisha kuwa hakuna viendelezi vingine vilivyoingiliwa, ikazungusha funguo zake, ikajenga upya miundombinu ya soko, na kuirejesha mtandaoni. Wasanidi programu waliosakinisha au kusasisha hadi toleo la 2.1.313 wakati wa dirisha la kukaribia aliyeambukizwa wanahimizwa kufuata hatua za urekebishaji na viashirio vya maelewano - vinavyojumuisha shughuli za SSH, faili na mbinu za kudumu, na shughuli za kuchakata - ambazo Mshale ulichapisha pamoja na ilani yake.
Risasi ya Onyo kwa Mfumo wa Kifaa wa AI
Tukio hilo linaonyesha jinsi uchumi wa maendeleo unaosaidiwa na AI umebadilisha calculus kwa washambuliaji. Toleo moja lililoboreshwa la kiendelezi maarufu, litaishi kwa muda wa saa chache, na linaweza kufikia maelfu ya vituo vya kazi vya wasanidi programu - mashine ambazo kwa kawaida huwa na msimbo wa chanzo, kitambulisho cha wingu na ufikiaji wa mifumo ya uzalishaji.
Pia inaangazia tofauti kati ya njia rasmi za usambazaji na soko za watu wengine. Kiendelezi cha Msimbo wa Claude wa Anthropic husambazwa kupitia chaneli zilizoanzishwa, lakini Mshale huendesha soko lake kwa kihariri chake cha VS Code, na ilikuwa ni uorodheshaji wa soko hilo ambao uliingiliwa. Visaidizi vya usimbaji vya AI vinapokuwa vifaa vya kawaida katika tasnia ya programu, uadilifu wa sajili zinazozisambaza huwa eneo la usalama kivyake - ambalo, hadi wiki hii, ni mashirika machache kiasi ambayo yalifikiria kukagua.
Kwa hadi watumiaji 5,000 walioathiriwa, kipaumbele cha mara moja ni kupitia orodha ya urekebishaji ya Mshale. Kwa kila mtu mwingine, kipindi hiki ni sababu ya kukagua ni viendelezi vipi vina ufikiaji wa kina kwa mazingira yao ya usanidi, na kufikiria mara mbili kabla ya kuruhusu sasisho kusakinishwa kimya kimya.
---
Pata habari za hivi punde za AI, uchanganuzi na mafanikio - yote katika sehemu moja.
Soma habari zaidi za AI →
