Вайбкодинг - выживут только параноики. Часть 1
Март 2026 года стал одним из худших месяцев по масштабу supply-chain атак на опенсорсные проекты. Если ты вайбкодер, теперь это и твои проблемы.
В программировании в целом, как и в его внебрачным ребенке - вайбкодинге, код с нуля почти не пишется. Он собирается из пакетов: готовых блоков функциональности, которые были написаны и поддерживаются другими людьми, и которые можно скачать в проект из npm и PyPi, аля магазинов приложений для JavaScript и Python.
Supply-chain attack отравляет один пакет выше по цепочке, и всё, что от него зависит, заражается автоматически. Никто не взламывает вас напрямую - вы делаете это сами запуская зараженный пакет через команды "npm install" или "pip install".
1. Кейс Trivy - сканер уязвимостей; используется в тысячах CI/CD-пайплайнах (автоматические конвейеры по проверке, сборке и выкатыванию функционала в публичный релиз) от израильской компании Aqua Security.
ИИ-бот под названием hackerbot-claw сканировал GitHub (аля Google Drive для кода) в поисках уязвимых репозиториев и открыл вредоносный pull request ( предложение внести изменения в чужой проект) к Trivy. В репозитории Trivy был неправильно настроен workflow(процесс сборки), который давал полные права на запись и доступ к секретам даже коду, присланному посторонними людьми. Бот воспользовался этим, чтобы украсть высокопривилегированный токен доступа от бота Aqua Security, обслуживающего эту линию сборки.
Aqua обнаружии утечку и изменили часть учётных данных, но, как оказалось, не все. 19 марта группа под названием TeamPCP использовала уцелевшие токены, чтобы опубликовать вредоносные версии Trivy и подменить код в 76 из 77 ранее выпущенных версий.
А дальше последствия. LiteLLM, ИИ-роутер (дает доступ к разным llm моделям) с ежемесячными загрузками в 95M, запускал Trivy в собственном пайплайне для проверки безопасности. Отравленный Trivy украл токен публикации LiteLLM, позволив хакерам опубликовать вредоносную версию, которая при установке на компьютер жерв, крала все секреты (API токены, SSH ключи и тд).
Кейс Axios - популярная JavaScript-библиотека для отправки HTTP-запросов, для общения вашего приложения с серверами и API.
В этом кейсе, вместо эксплойта машины, атакующие потратили две недели на социальную инженерию. Они клонировали брендинг реальной компании, присутствие в LinkedIn, создали фейковые профили сотрудников и заманили автора Axios в фейковое рабочее пространство Slack. Затем назначили звонок в Teams с «командой» и обманом заставили установить системное обновление, которое по сути был RAT (троян удалённого доступа).
С RAT на его машине двухфакторная аутентификация уже ничего не решала — малварь перехватывала сессии и учётные данные в реальном времени. Они извлекли ни разу не измененный токен доступа к npm и использовали его для публикации отравленных версий Axios напрямую, в обход всех CI/CD-защит.
Итого имеем
1. Краулеры на базе LLM сканируют публичные репозитории и способны креативно эксплуатировать уязвимости → больше утечек. ИИ также в 10ки раз удешевляет стоимость атак через социальную инженерию - весь фасад может быть сделан одним человеком. 2. Вайбкодеры подтягивают пакеты, которые не в состоянии проверить. Каждый npm install, который запускает ваш ИИ-ассистент — это решение которое вы не принимали осознанно. 3. Код, сгенерированный ИИ, сходится к одним и тем же пакетам. Каждая LLM рекомендует Axios для HTTP-запросов, LiteLLM для маршрутизации промптов к моделям и тд, позволяя атаковать сотни тысяч компьютеров.
Что делать
1. Во первых, перестать безумно позволять ИИ устанавливать пакеты, без проверки руками (в след постах) 2. Во-вторых, построить забор вокруг среды разработки. (через правильно настроенный Docker контейнер - в след посте), чтобы ограничить радиус урона. 3. В-третьих, снизить вероятность заражения, через определенные настройки и порядок действий проверки пакетов. Но об этом в след постах.
