GitHub contesta la richiesta di Wiz secondo cui Copilot Autofix ha scritto un difetto di Snowflake.

      Una società di sicurezza ha dichiarato lunedì che un'IA ha scritto un difetto critico nel codice di Snowflake e che un'altra IA lo ha trovato e ha effettuato un'intrusione. La seconda parte regge. La prima parte si è sgretolata in circa otto ore.

      Ciò che rimane è comunque degno della tua attenzione. Non è solo la storia che ha viaggiato.

      Cosa ha fatto realmente l'agente

      Wiz Research gestisce uno strumento autonomo che chiama Red Agent. Ha scansionato l'organizzazione GitHub di Snowflake sotto il programma di divulgazione HackerOne dell'azienda e ha segnalato un file di workflow nel repository pubblico per il connettore .NET di Snowflake.

      Il workflow veniva eseguito ogni volta che qualcuno apriva un problema. Inseriva il titolo del problema direttamente in uno script shell. Qualsiasi account su Internet poteva accedervi.

      L'escaping era in ordine errato. Il motore dei modelli di GitHub sostituiva prima il titolo e i comandi destinati a sanificarlo venivano eseguiti successivamente. Un singolo apostrofo nel titolo quindi rompeva la stringa shell.

      Una condizione di guardia sembrava protettiva. Confrontava una proprietà della richiesta di pull con un nome di bot, ma negli eventi di problemi quella proprietà non esiste. GitHub valuta una proprietà mancante come una stringa vuota, quindi il confronto restituiva sempre vero e ogni utente passava.

      Poi la parte che conta. Il primo payload di Red Agent utilizzava un carattere hash per commentare il resto della riga, e il runner generava un errore di sintassi. L'agente leggeva l'errore, capiva che il commento aveva inghiottito una parentesi di chiusura, riscriveva il payload e riprovava. Il callback arrivava in pochi secondi. Nessuno toccava una tastiera.

      Il token che ha estratto concedeva accesso in lettura ai progetti di ingegneria, conformità di sicurezza e bug bounty di Snowflake.

      Snowflake ha agito lo stesso giorno

      Wiz ha segnalato il difetto il 23 giugno. Snowflake lo ha corretto quel giorno, ha ripristinato il modello sicuro e ha ruotato il token Jira il 24 giugno.

      I log di audit abbinavano ogni query anomala agli indirizzi di test di Wiz. Wiz afferma di aver eliminato ciò che ha preso.

      "La divulgazione è stata ricevuta il 23 giugno 2026 ed è stata immediatamente indagata e rimediata, e la nostra indagine non ha trovato prove di accesso non autorizzato", ha dichiarato Snowflake.

      La linea del co-autore è un artefatto di squash

      Ecco dove è andato storto.

      Il commit che ha portato il difetto nel ramo principale elenca "Copilot Autofix alimentato da IA" tra i suoi co-autori. Wiz ha interpretato questo come un'IA che scriveva il codice vulnerabile. Il proprio post affermava che un commit di autofix dell'IA aveva creato il vettore di iniezione. La maggior parte della copertura ha seguito.

      Hacker News è andato a leggere i commit sottostanti. Il commit co-autore di Copilot ha cambiato un file diverso. La refactoring non sicura si trova in un commit separato datato 25 agosto 2025, che GitHub attribuisce a un ingegnere di Snowflake nominato.

      Lo squash unisce ogni commit in una richiesta di pull in uno solo. La linea del co-autore è venuta insieme per il viaggio. Registra la partecipazione alla richiesta di pull, non la paternità delle righe che si sono rotte. Il reporter Swati Khandelwal l'ha messa in modo chiaro: la storia conferma che Copilot ha partecipato, e non stabilisce che ha scritto il difetto.

      La risposta di GitHub

      GitHub ha condotto una revisione interna e ha respinto il quadro. Dice che un umano ha scritto i contributi che hanno portato alla vulnerabilità e che Copilot Autofix non li ha né esaminati né contribuito.

      Wiz ha ammorbidito il proprio post la stessa sera. Un aggiornamento timbrato 19:57 UTC ora dice che Copilot era un co-autore che ha controllato la richiesta di pull fusa e l'ha dichiarata chiara senza notare la vulnerabilità. Poi aggiunge la frase che annulla il titolo: "Non è chiaro se il cambiamento di codice fosse assistito da IA."

      The Register aveva già pubblicato. Entro mezzanotte aveva cambiato il suo titolo da un'IA che rompe il codice a un'IA che non riesce a rilevarlo, e ha aggiunto una correzione. L'editor di cybersecurity Jessica Lyons l'ha concluso con una frase che non si vede spesso riguardo a un grande fornitore.

      "The Register si rammarica per questo errore, ha aggiornato questa storia per riflettere le informazioni riviste e non si fiderà di Wiz per molto tempo."

      Due proprietari degni di nota

      Google possiede Wiz. Microsoft possiede GitHub e Copilot con esso.

      Ciò non rende la ricerca errata. Significa che un'azienda di proprietà di Google ha pubblicato un'affermazione secondo cui un prodotto Microsoft ha scritto un difetto critico, per poi ritirare la parte portante una volta che le persone hanno controllato.

      Ciò che sopravvive, e non è poco

      Elimina la metà contestata e rimane un vero risultato.

      Un agente autonomo ha scansionato un repository pubblico, ha individuato un'iniezione attiva, ha scritto un exploit, ha riscontrato un errore, lo ha diagnosticato, si è corretto e ha ottenuto credenziali funzionanti. Il difetto è stato attivo per cinque giorni. Quella era l'intera finestra.

      Abbiamo monitorato questa curva. I ricercatori hanno jailbroken i workflow di Copilot a luglio, e un agente GitHub separato ha trapelato repository privati un giorno prima.

      Da allora, i difetti scoperti dall'IA sono passati a una vera sfruttamento. Ieri abbiamo riportato che un agente ha costruito un exploit funzionante per un difetto di macOS in quattro ore.

      Greg Brockman ha ammesso domenica che OpenAI aveva sottovalutato i propri modelli su esattamente questo. La direzione del viaggio non è in discussione.

      Cosa non mostra il record

      Diverse cose rimangono non stabilite, e il divario è importante dato come si è diffusa l'affermazione.

      Non esiste alcun CVE. Nessun punteggio CVSS e nessuna voce nel catalogo statunitense delle vulnerabilità sfruttate. La debolezza si trovava nell'automazione del repository, quindi nessuna versione del connettore la portava, e nessuna prova indica qualcun altro che la sfrutta.

      I log di audit di Snowflake non sono pubblici. Né lo sono i permessi Jira o l'esecuzione del workflow. Tutto ciò che riguarda il raggio d'azione si basa su ciò che Snowflake e Wiz dicono di aver visto.

      Un ulteriore dettaglio merita una menzione. GitHub ha pubblicato linee guida a luglio 2025 avvertendo contro esattamente questo modello, un mese prima del commit che lo ha introdotto.

      Cosa risolverebbe la questione

      La domanda utile non è quale IA incolpare. È se la revisione dell'IA di GitHub abbia esaminato questa modifica e l'abbia approvata.

      Wiz dice di sì. GitHub afferma che Copilot Autofix non ha mai esaminato il codice. Queste non possono essere entrambe vere, e solo una azienda detiene i log che lo dimostrerebbero.