Phân tích kỹ thuật: Tấn công Cryptographic Context Injection trên GitHub Copilot CLI

• Cơ chế tấn công: Kỹ thuật Cryptographic Context Injection (CCI) sử dụng dữ liệu mã hóa để vượt qua các bộ lọc kiểm tra prompt truyền thống.
• Tác động: Kẻ tấn công có thể ép buộc AI agent đọc các tệp tin cục bộ (như .env.prod) và truyền dữ liệu ra máy chủ C2.
• Rủi ro AI: Sự thiếu nhất quán trong cơ chế bảo mật giữa các model AI (như mai-code-1.1-flash so với GPT-5.6) tạo ra lỗ hổng khai thác tiềm tàng.
• Khuyến nghị: Hạn chế quyền truy cập tệp tin cục bộ của các agent tự động và giám sát chặt chẽ các kết nối mạng outbound.

1. Bối cảnh & Tổng quan

Trong bối cảnh các công cụ hỗ trợ lập trình dựa trên AI (AI Coding Agents) ngày càng phổ biến, các mối đe dọa liên quan đến Prompt Injection đã tiến hóa sang những hình thức tinh vi hơn. Nghiên cứu mới nhất từ Adversa AI đã chỉ ra một lỗ hổng logic nghiêm trọng trong GitHub Copilot CLI, cho phép kẻ tấn công thực hiện kỹ thuật Cryptographic Context Injection (CCI) để đánh cắp dữ liệu nhạy cảm từ môi trường phát triển cục bộ.

Kỹ thuật này không dựa trên các chuỗi văn bản độc hại thông thường mà các hệ thống lọc tĩnh (static filters) có thể dễ dàng phát hiện. Thay vào đó, nó sử dụng dữ liệu đã được mã hóa, buộc AI agent phải thực hiện các thao tác giải mã trong môi trường runtime, từ đó biến các chỉ thị độc hại thành các lệnh thực thi hợp lệ trong mắt hệ thống.

2. Phân tích Kỹ thuật & Chuỗi Khai thác

Chuỗi tấn công CCI khai thác sự tin tưởng của AI agent vào các tiến trình nội bộ sau khi dữ liệu được giải mã. Dưới đây là các bước thực hiện theo khung MITRE ATT&CK:

• Bước 1: Khởi tạo (T1190 - Exploit Public-Facing Application): Kẻ tấn công dẫn dụ nhà phát triển truy cập vào một trang web độc hại thông qua tính năng review URL của Copilot CLI.
• Bước 2: Injection (T1059 - Command and Scripting Interpreter): Thay vì gửi lệnh plaintext, trang web chứa payload mã hóa. Copilot CLI được hướng dẫn sử dụng Python để giải mã nội dung này.
• Bước 3: Thực thi & Thu thập dữ liệu (T1005 - Data from Local System): Kẻ tấn công sử dụng một "key" giả mạo để ép agent đọc các tệp tin nhạy cảm (ví dụ: .env.prod) trước khi quá trình giải mã thực sự hoàn tất.
• Bước 4: Exfiltration (T1041 - Exfiltration Over C2 Channel): Dữ liệu thu thập được truyền về máy chủ của kẻ tấn công thông qua một yêu cầu HTTP hợp lệ.

Điểm mấu chốt của cuộc tấn công nằm ở việc các bộ lọc bảo mật hiện tại chỉ kiểm tra nội dung văn bản thuần túy. Khi agent thực hiện thao tác giải mã trong shell nội bộ, các chỉ thị độc hại được "giải phóng" và được hệ thống coi là kết quả từ một tiến trình tin cậy.

3. Dấu hiệu Nhận biết & Bảng Chỉ số IOCs

Việc phát hiện các cuộc tấn công này đòi hỏi sự giám sát chặt chẽ hành vi của agent thay vì chỉ quét nội dung đầu vào. Dưới đây là các chỉ số cần lưu ý:

4. Hướng dẫn Phát hiện (Detection Rules)

Để phát hiện các hành vi bất thường từ AI Coding Agents, các đội ngũ SOC cần thiết lập các quy tắc giám sát dựa trên hành vi (Behavioral Analytics) thay vì dựa trên signature đơn thuần.

# Ví dụ quy tắc phát hiện hành vi đọc file nhạy cảm theo sau bởi kết nối mạng (KQL mẫu) 

Các kỹ sư an ninh mạng nên tập trung vào việc log lại các đối số của công cụ (tool arguments) và thiết lập cảnh báo khi phát hiện sự kết hợp giữa việc truy cập tệp tin cục bộ và các yêu cầu mạng outbound đến các domain không xác định.

5. Biện pháp Khắc phục & Khuyến nghị Phòng thủ

⚠️ Cảnh báo quan trọng: Việc để chế độ "Auto" cho model AI có thể dẫn đến rủi ro không đồng nhất về bảo mật, vì các model khác nhau có khả năng chống lại prompt injection khác nhau.

• Hạn chế quyền hạn: Không cấp quyền truy cập tệp tin cục bộ hoặc quyền truy cập mạng rộng rãi cho các agent tự động khi duyệt các trang web không tin cậy.
• Hardening môi trường: Di chuyển các tệp tin chứa credential, API keys hoặc tokens ra khỏi các thư mục mà AI agent có quyền truy cập.
• Giám sát hành vi: Sử dụng các giải pháp EDR để theo dõi các tiến trình con được khởi tạo bởi Copilot CLI.
• Cập nhật chính sách: Luôn kiểm tra các bản cập nhật từ nhà cung cấp và tuân thủ các hướng dẫn bảo mật từ CISA về an toàn AI.