டெவலப்பர் கணினிகளில் ஒரு நிலையான SSH பின்கதவை நிறுவும் வகையில் தொகுப்பு மாற்றியமைக்கப்பட்டுள்ளதைக் கண்டறிந்த பிறகு, கர்சர் அதன் நீட்டிப்பு சந்தையில் இருந்து ஆந்த்ரோபிக்ஸ் கிளாட் கோட் நீட்டிப்பின் தீங்கிழைக்கும் பதிப்பை அகற்றியுள்ளது. அக்டோபர் 29 அன்று வெளியிடப்பட்ட பாதுகாப்பு அறிவிப்பில், ட்ரோஜனேற்றப்பட்ட தொகுப்பு - Anthropic.claude-code பதிப்பு 2.1.313 என பட்டியலிடப்பட்டுள்ளது - Anthropic ஆல் உருவாக்கப்படவில்லை, மேலும் அதிகபட்சம் 5,000 பயனர்கள் பாதிக்கப்பட்டுள்ளனர். ராய்ட்டர்ஸின் கூற்றுப்படி, நிறுவனம் அந்த பயனர்களை நேரடியாக அணுகுகிறது.

AI குறியீட்டு கருவிகள் டெவலப்பர்கள் இப்போது தங்கள் மூலக் குறியீடு, நற்சான்றிதழ்கள் மற்றும் ஷெல் அணுகல் ஆகியவற்றின் மூலம் தங்களைத் தாங்களே விநியோக-சங்கிலி இலக்குகளாக நம்புகிறார்கள் என்பதை இந்த வெளிப்படுத்தல் ஒரு குழப்பமான நினைவூட்டலாகும். AI டெவலப்பர் கருவியைச் சுற்றியுள்ள பாதுகாப்பு அழுத்தங்கள் பற்றிய கூடுதல் சூழலுக்கு, எங்களின் AI இன்டஸ்ட்ரி கவரேஜ் ஐப் பார்க்கவும்.

இரண்டு மணிநேர விநியோக சாளரம்

கர்சரின் காலவரிசையின்படி, நீட்டிப்பின் தீங்கிழைக்கும் பதிப்பு அதன் சந்தையில் சுமார் 2:27 a.m PT மற்றும் 1:35 p.m. இடையே கிடைத்தது. அக்டோபர் 29 அன்று PT - சுமார் பதினொரு மணிநேர சாளரம். அந்தக் காலகட்டத்தில், கிளாட் கோட் நீட்டிப்பின் பதிப்பு 2.1.313ஐ நிறுவிய அல்லது புதுப்பிக்கும் எந்தவொரு டெவலப்பரும் ஆந்த்ரோபிக் தயாரித்த குறியீட்டை விட சிதைந்த தொகுப்பைப் பெற்றார்.

தீங்கிழைக்கும் பதிப்பைக் கண்டறிந்தவுடன் உடனடியாக சந்தையில் இருந்து அகற்றியதாகவும் மேலும் விநியோகத்தைத் தடுத்ததாகவும் கர்சர் கூறினார். நிறுவனம் பின்னர் ஒரு படி மேலே சென்று, அதன் முழு நீட்டிப்பு சந்தையையும் தற்காலிகமாக மூடியது, அது ஏராளமான எச்சரிக்கை என்று விவரித்தது.

தீங்கிழைக்கும் நீட்டிப்பு என்ன செய்தது

கர்சரின் பாதுகாப்புக் குழு, நீட்டிப்பின் நடத்தையை அசாதாரண விவரமாக ஆவணப்படுத்தியது. நிறுவப்பட்டதும், தொகுப்பானது பல நிலைகளில் ஒரு தொடர்ச்சியான பின்கதவை நிறுவ முயற்சிக்கும் குறியீட்டை இயக்கியது:

  • உளவுத்துறை. நீட்டிப்பு இயந்திரத்தின் ஹோஸ்ட்பெயர், பயனர்பெயர், இயக்க முறைமை, கட்டமைப்பு, முகப்பு அடைவு பாதை, சூழல் மாறி பெயர்கள், வேலை செய்யும் கோப்பகங்கள், உள்ளமைக்கப்பட்ட Git மின்னஞ்சல் மற்றும் பொது IP முகவரி ஆகியவற்றைச் சேகரித்தது.
  • SSH விசை உட்செலுத்துதல். இது இயந்திரத்தின் `அங்கீகரிக்கப்பட்ட_விசைகள்' கோப்பில் தாக்குபவர்-கட்டுப்படுத்தப்பட்ட SSH விசையைச் சேர்க்க முயற்சித்தது, உள்ளூர் SSH சேவையை இயக்கி, தாக்குபவர் கட்டுப்படுத்தும் சேவையகத்திற்கு மீண்டும் ஒரு தலைகீழ் SSH சுரங்கப்பாதையைத் திறக்க முயற்சித்தது.
  • நிலைத்தன்மை. பின்னணி ஸ்கிரிப்ட்கள் ஒவ்வொரு 60 வினாடிகளுக்கும் தலைகீழ் சுரங்கப்பாதையை மீண்டும் முயற்சித்தன. MacOS இல், தீம்பொருள் ஒரு LaunchAgent மூலம் சுரங்கப்பாதையை நிலைத்திருக்க முயற்சித்தது; விண்டோஸில், இது ஒரு ஸ்டார்ட்அப்-ஸ்கிரிப்ட் ஃபால்பேக் உடன், SYSTEM ஆக இயங்கும் திட்டமிடப்பட்ட பணியை பதிவு செய்ய முயற்சித்தது.
  • பீக்கனிங். பாதிக்கப்பட்ட இயந்திரம், போர்ட் 8099 இல் உள்ள `/பீக்கான்` எண்ட் பாயிண்டிற்கு HTTP POST கோரிக்கையின் மூலம் ஹோஸ்ட் விவரங்கள் மற்றும் பின்கதவு நிலையைப் புகாரளித்தது.

ஏன் சேதம் வரையறுக்கப்படலாம்

இரண்டு முக்கியமான தணிக்கும் காரணிகள் உள்ளன. முதலில், உள்ளூர் SSH சேவையை இயக்குவதற்கு நிர்வாகி உரிமைகள் தேவை, தீங்கிழைக்கும் நீட்டிப்பு பெரும்பாலான macOS மற்றும் Windows கணினிகளில் இல்லை. நிர்வாகி சிறப்புரிமைகளுடன் எடிட்டர் தொடங்கப்பட்ட மிகவும் அசாதாரண சூழ்நிலைகளுக்கு வெளியே, தீங்கிழைக்கும் குறியீட்டில் உள்ள பிழைகள் இந்த நடவடிக்கை தோல்வியடையச் செய்தன - அதாவது தாக்குபவர் அந்த ஹோஸ்ட்களில் உள்ள சுரங்கப்பாதை வழியாக உள்நுழைய முடியாது என்று கர்சர் குறிப்பிட்டார். இருப்பினும், நீட்டிப்பு தாக்குபவர்களின் SSH விசையைச் சேர்க்க, அதன் நிலைத்தன்மை வழிமுறைகளை நிறுவ மற்றும் தாக்குபவர்களின் சேவையகத்திற்கு ஹோஸ்ட் விவரங்களை அனுப்ப முடியும்.

இரண்டாவதாக, தாக்குபவர்களின் உள்கட்டமைப்பு இப்போது ஆஃப்லைனில் உள்ளது. கட்டளை மற்றும் கட்டுப்பாட்டு சேவையகத்தை ஹோஸ்ட் செய்யும் கிளவுட் வழங்குனருடன் இணைந்து செயல்பட்டதாக கர்சர் கூறியது, எனவே ரிவர்ஸ் ஷெல் மற்றும் ஹோஸ்ட்-விபரம் பெக்கான் இனி செயல்படாது.

நீட்டிப்பு அல்லது ஆந்த்ரோபிக்கின் அதிகாரப்பூர்வ விநியோக சேனல்கள் பாதிக்கப்பட்டதற்கான எந்த ஆதாரமும் தன்னிடம் இல்லை என்றும் நிறுவனம் கூறியது.

சந்தை நிறுத்தம், தணிக்கை மற்றும் மறுகட்டமைப்பு

கர்சரின் பதில் ஒற்றை மோசமான தொகுப்பை அகற்றுவதற்கு அப்பால் சென்றது. நிறுவனம் சந்தை அணுகல் பற்றிய முழு தணிக்கையை நடத்தியதாகவும், வேறு எந்த நீட்டிப்புகளும் சிதைக்கப்படவில்லை என்பதை உறுதிப்படுத்தியதாகவும், அதன் விசைகளை சுழற்றவும், சந்தை உள்கட்டமைப்பை மீண்டும் உருவாக்கவும், அதை மீண்டும் ஆன்லைனில் கொண்டு வந்ததாகவும் கூறியுள்ளது. வெளிப்பாடு சாளரத்தின் போது பதிப்பு 2.1.313 ஐ நிறுவிய அல்லது புதுப்பிக்கப்பட்ட டெவலப்பர்கள், கர்சர் அதன் அறிவிப்புடன் வெளியிடப்பட்ட SSH செயல்பாடு, கோப்புகள் மற்றும் நிலைத்தன்மை வழிமுறைகள் மற்றும் செயல்முறை செயல்பாடு ஆகியவற்றை உள்ளடக்கிய சமரசத்தின் சரிசெய்தல் படிகள் மற்றும் குறிகாட்டிகளைப் பின்பற்றுமாறு வலியுறுத்தப்படுகிறார்கள்.

AI டூலிங் சுற்றுச்சூழல் அமைப்பிற்கான ஒரு எச்சரிக்கை காட்சி

AI-உதவி வளர்ச்சியின் பொருளாதாரம் தாக்குபவர்களுக்கான கால்குலஸை எவ்வாறு மாற்றியுள்ளது என்பதை இந்த சம்பவம் விளக்குகிறது. பிரபலமான நீட்டிப்பின் ஒற்றை ட்ரோஜனேற்றப்பட்ட பதிப்பு, சில மணிநேரங்களுக்கு வாழ்கிறது, ஆயிரக்கணக்கான டெவலப்பர் பணிநிலையங்களைச் சென்றடையக்கூடும் - பொதுவாக மூலக் குறியீடு, கிளவுட் நற்சான்றிதழ்கள் மற்றும் உற்பத்தி அமைப்புகளுக்கான அணுகலை வைத்திருக்கும் இயந்திரங்கள்.

உத்தியோகபூர்வ விநியோக சேனல்களுக்கும் மூன்றாம் தரப்பு சந்தைகளுக்கும் இடையிலான வேறுபாட்டையும் இது எடுத்துக்காட்டுகிறது. ஆந்த்ரோபிக்கின் கிளாட் குறியீடு நீட்டிப்பு நிறுவப்பட்ட சேனல்கள் மூலம் விநியோகிக்கப்படுகிறது, ஆனால் கர்சர் அதன் VS குறியீடு அடிப்படையிலான எடிட்டருக்காக அதன் சொந்த சந்தையை இயக்குகிறது, மேலும் அந்த சந்தையின் பட்டியல் சமரசம் செய்யப்பட்டது. AI குறியீட்டு உதவியாளர்கள் மென்பொருள் துறையில் நிலையான உபகரணங்களாக மாறும்போது, ​​​​அவற்றை விநியோகிக்கும் பதிவுகளின் ஒருமைப்பாடு அதன் சொந்த உரிமையில் ஒரு பாதுகாப்பு சுற்றளவாக மாறுகிறது - இந்த வாரம் வரை, ஒப்பீட்டளவில் சில நிறுவனங்கள் தணிக்கை செய்ய நினைத்தன.

5,000 வரை பாதிக்கப்பட்ட பயனர்களுக்கு, கர்சரின் சரிசெய்தல் சரிபார்ப்புப் பட்டியல் மூலம் உடனடி முன்னுரிமை இயங்குகிறது. மற்ற அனைவருக்கும், எந்த நீட்டிப்புகள் அவற்றின் வளர்ச்சி சூழல்களுக்கு ஆழமான அணுகலைக் கொண்டுள்ளன என்பதை மதிப்பாய்வு செய்வதற்கும், புதுப்பிப்பை அமைதியாக நிறுவுவதற்கு முன் இருமுறை யோசிப்பதற்கும் எபிசோட் ஒரு காரணமாகும்.
---

AIக்கு முன்னால் இருங்கள்

சமீபத்திய AI செய்திகள், பகுப்பாய்வு மற்றும் முன்னேற்றங்கள் - அனைத்தையும் ஒரே இடத்தில் பெறுங்கள்.

மேலும் AI செய்திகளைப் படிக்கவும் →