टूल्स 2026-08-18

एक एआई एजेंट पाँच दिन में Snowflake के बिल्ड सिस्टम में घुस गया। यह छेद किसने लिखा, अब यही विवाद में है।

सुरक्षा कंपनी Wiz ने 17 अगस्त को बताया कि 18 जून को Snowflake के एक सार्वजनिक रिपॉज़िटरी में मर्ज हुए बदलाव ने सुरक्षित तरीका — मानों को एनवायरनमेंट वेरिएबल से भेजना — हटाकर बिना जाँचा इनपुट सीधे एक GitHub Actions वर्कफ़्लो के शेल कमांड में डाल दिया। इसके बाद कोई भी व्यक्ति सिर्फ़ ऐसा इशू खोलकर, जिसके शीर्षक में उद्धरण चिह्न हो, Snowflake के बिल्ड सिस्टम पर कमांड चला सकता था। Wiz के स्वचालित रेड-टीम एजेंट ने 23 जून को इसे खोजा और इस्तेमाल किया, और एक Jira API टोकन बाहर निकाल लिया जो Snowflake के इंजीनियरिंग, सुरक्षा-अनुपालन और बग-बाउंटी प्रोजेक्ट्स तक पढ़ने की पहुँच देता था। Snowflake ने उसी दिन पैच किया, 24 जून को टोकन बदला, और कहता है कि कोई और अंदर नहीं आया। (सुधार: हमारे पहले संस्करण में लिखा था कि यह बदलाव GitHub Copilot ने सह-लेखन किया और उसे साफ़ बताकर मंज़ूरी दी। GitHub का कहना है कि कोड एक इंसान ने लिखा था और Copilot Autofix ने न उसकी समीक्षा की न उसमें योगदान दिया; सह-लेखक वाली पंक्ति एक स्क्वैश कमिट से आई थी जिसमें कई पुल रिक्वेस्ट एक साथ मिलाई गई थीं। Wiz ने तब से अपनी पोस्ट नरम कर दी है और कहा है कि यह स्पष्ट नहीं कि बदलाव एआई की मदद से हुआ था या नहीं; The Register ने भी अपना शीर्षक सुधार लिया है।)

यह क्यों मायने रखता हैविवाद से जो हिस्सा बचा, वही चौंकाने वाला हिस्सा है। एक स्वायत्त रेड-टीम एजेंट ने सार्वजनिक रिपॉज़िटरी पढ़ी, वह शेल-इंजेक्शन पैटर्न पहचाना जिससे किसी इंसान ने कभी सावधानी से बचा था, चलने वाला एक्सप्लॉइट लिखा और एक जीवित क्रेडेंशियल लेकर निकल गया — पाँच दिन, बीच में कोई आदमी नहीं। और जो हिस्सा ढह गया, वह अलग तरह की चेतावनी है: 'बग एआई ने लिखा' वही वाक्य है जो हर कोई छापना चाहता है, और वह घंटों में दुनिया घूम आया — उस सह-लेखक पंक्ति के सहारे जो अंत में कुछ भी साबित नहीं करती। रिपॉज़िटरी के भीतर लेखकत्व तय करना सचमुच कठिन है, और किसी सुरक्षा कंपनी के पास अपनी खोज को असल से भारी दिखाने की पूरी वजह होती है। दूसरे दावे को पहले से धीरे पढ़िए — हमारे दावे को भी।

#कोडिंग #AI एजेंट

✓ सत्यापित · 2 स्रोत

▶ संबंधित वीडियो: avoiding shell injection in github actions (intermediate) anthony explains #479 ऐप में पढ़ें — मुफ़्त, 9 भाषाएँ

संबंधित खबरें

एपल म्यूजिक बताएगा कि कौन-सा गाना मशीन ने बनाया — पर बताना है या नहीं, यह अपलोड करने वाला तय करेगा
2026-08-21 अफवाह: जिस गुमनाम मॉडल ने मुफ्त में कोडिंग बेंचमार्क में शीर्ष स्थान लिया, वह कथित तौर पर झिपू का अघोषित फ्लैगशिप है
2026-08-21 डीपसीक का सस्ता वर्कहॉर्स अब देख सकता है — और आँखों वाली एजेंट कार्यों में वह एंथ्रोपिक के सर्वश्रेष्ठ के करीब होने का दावा करता है
2026-08-21 एनवीडिया प्रतिद्वंद्वी की "मॉडल बनाने वाली मशीन" के लिए 6 अरब डॉलर दे रहा है — और उसे चलाने वाले 109 लोगों को नौकरी दे रहा है
2026-08-21 स्ट्राइप ने अभी एक मॉडल राउटर के लिए 7.5 अरब डॉलर चुकाए। कुछ दिन बाद रैम्प ने खुद एक बना लिया और जनवरी तक मुफ़्त बाँट रहा है।
2026-08-21