Un'intelligenza artificiale ha scritto il bug di sicurezza. Un'altra IA l'ha trovata cinque giorni dopo

Il 18 giugno 2026, una patch è arrivata nel repository pubblico snowflake-connector-net di Snowflake, creata in collaborazione con uno strumento chiamato Copilot Autofix, la funzionalità di GitHub che propone automaticamente correzioni per i risultati sulla sicurezza. Secondo la società di sicurezza Wiz, quella patch ha sostituito un modo sicuro di gestire l’input con l’interpolazione di stringhe grezze: ha inserito il titolo di un problema di GitHub direttamente in un comando di shell. Cinque giorni dopo, il sistema di test autonomo di Wiz, che chiama Red Agent, ha attraversato il buco risultante.

Vale la pena comprendere i meccanismi perché sono così ordinari. Il repository eseguiva un’automazione che creava un ticket Jira ogni volta che qualcuno apriva un problema. Il titolo del problema è stato passato a un comando di shell e la fase di sanificazione, la parte intesa a eliminare i caratteri pericolosi, è stata eseguita dopo che il modello era già stato espanso. Quell’ordine è l’intero bug. Una singola virgoletta nel titolo era sufficiente per uscire dalla stringa prevista e aggiungere comandi arbitrari. Un secondo difetto aggravava il tutto: un cancello che controllava chi aveva aperto la richiesta pull veniva valutato come vero negli eventi di rilascio, perché in quegli eventi non c’era alcuna richiesta pull.

L’agente di Wiz ha ricevuto un errore di sintassi della shell al primo tentativo, l’ha corretto e ha ricevuto una richiamata dal corridore dell’automazione. Ciò che ha recuperato è stato il token API Jira utilizzato dal flusso di lavoro, un account con accesso in lettura ai progetti di ingegneria, conformità di sicurezza e bug bounty di Snowflake. Snowflake ha corretto il flusso di lavoro lo stesso giorno, ha ruotato il token il 24 giugno e afferma che la sua indagine non ha trovato prove di accesso non autorizzato durante la finestra di cinque giorni. GitHub ha contestato pubblicamente la tesi secondo cui Copilot Autofix ha scritto il difetto.

Metti da parte chi ha la colpa e la storia è comunque istruttiva. Gli assistenti di codifica basati sull’intelligenza artificiale sono molto bravi nel produrre codice che appaia corretto e superi la revisione, che è esattamente il profilo di modifica che con maggiore probabilità sfuggirà a un manutentore impegnato. Il bug qui non è esotico; è il tipo di errore di ordinazione che un essere umano stanco fa di venerdì. La novità è la velocità su entrambe le estremità. Una macchina lo ha proposto, un essere umano lo ha approvato in pochi secondi perché era etichettato come una soluzione di sicurezza, e una macchina lo ha trovato e sfruttato nel giro di una settimana. Il divario in cui una persona legge effettivamente la differenza sta diventando sempre più sottile da entrambe le direzioni.

Cosa significa per te: se scrivi codice, la lezione pratica è piccola e noiosa e vale comunque la pena farla. Considera le patch suggerite dall’intelligenza artificiale per creare e distribuire l’automazione come un rischio più elevato rispetto alle patch per il normale codice dell’applicazione, perché tale automazione di solito possiede credenziali reali. Non inserire mai input non attendibili e il titolo di un problema proveniente da uno sconosciuto è un input non attendibile, direttamente in un comando di shell. Se non si scrive codice, il vantaggio riguarda le etichette di affidabilità: una modifica contrassegnata come “correzione di sicurezza” riceve meno controllo di qualsiasi altro tipo, il che la rende il luogo più attraente in cui nascondere un errore.

Fonti

• Wiz: Red Agent sfrutta la vulnerabilità Snowflake mancata da GitHub Copilot
• Il registro: un’intelligenza artificiale ha violato il codice di Snowflake, quindi un altro agente dell’intelligenza artificiale lo ha sfruttato
• The Hacker News: il difetto di Snowflake GitHub Actions consente ai problemi creati di attivare l’iniezione di comandi
• The Next Web: GitHub contesta l’affermazione di Wiz secondo cui Copilot Autofix ha scritto il difetto