Захват сессии ИИ-ассистента: червь Shai-Hulud расползся по сотне репозиториев

Компания Mandiant описала инцидент, в котором злоумышленник перехватил активную сессию ИИ-ассистента для написания кода у неназванного поставщика SaaS и в итоге распространил червя Shai-Hulud примерно по сотне внутренних репозиториев. Случай вошёл в отчёт Mandiant за сентябрь 2026 года; при этом в публичном разборе не сказано, когда именно произошло вторжение и каким образом атакующий завладел активной сессией помощника.

Как развивалась атака

Отправной точкой стала рекомендация самого ассистента. Он посоветовал разработчику стороннее ПО, которое злоумышленник заранее отравил, и совет был принят. Воспользовавшись активной сессией разработчика, атакующий установил инфостилер через скомпрометированный пакет из PyPI и похитил OAuth-токены GitHub.

Затем в дело пошёл сам Shai-Hulud — самораспространяющийся червь, который расползся примерно по сотне внутренних репозиториев, выкрав секреты и исходный код продуктов компании. Вдобавок злоумышленник отравил пакет уже в официальном пространстве имён самой организации: другой сотрудник подтянул заражённую версию, что вызвало повторное заражение.

Mandiant напоминает, что подобное применение ИИ в реальных атаках фиксировалось и раньше. В мартовском отчёте 2026 года компания отмечала, что в течение 2025 года атакующие перешли от использования генеративного ИИ в основном для ускорения рутины к встраиванию больших языковых моделей непосредственно во вредоносное ПО и активные операции.

Что рекомендуют защитникам

Применительно к этому случаю Mandiant советует три меры для разработки с участием ИИ: сверять рекомендованные ассистентом сторонние зависимости с криптографическими контрольными суммами и утверждёнными списками разрешённого; держать сырые API-ключи, долгоживущие OAuth-токены и прочие секреты вне прямого доступа расширений; направлять трафик зависимостей через контролируемые внутренние репозитории.

Семейство Shai-Hulud в последнее время всё чаще нацеливается на инструменты и учётные данные разработчиков. В августе связанный с Keyv червь для npm отравил сотни пакетов и расставил перехватчики для Claude Code и Visual Studio Code, а более поздний анализ обнаружил вариант Shai-Hulud, который сканировал 469 расположений в поисках учётных данных — в системах разработчиков, инструментах CI/CD, облачных конфигурациях и файлах ИИ-инструментов. Это были отдельные кампании, и имеющиеся данные не связывают их с описанным Mandiant вторжением.

Источник: The Hacker News