Copilot 及 Cursor 等 AI 编码助手的新漏洞：通过规则文件注入恶意代码

109 0 0

文章摘要

Pillar Security 的研究人员最近发现，人工智能编码助手如 GitHub Copilot 和 Cursor 可能通过恶意规则配置文件被操控，从而生成包含后门程序、漏洞及其他安全问题的代码。规则文件通常用于指导人工智能代理在生成或编辑代码时的行为，例如遵循特定的编码最佳实践或格式。然而，Pillar 的研究人员开发了一种名为“规则文件后门”的攻击技术，通过向规则文件中注入对人类用户不可见但人工智能代理可读的指令，将规则文件武器化。这种技术利用隐藏的 Unicode 字符，如双向文本标记和零宽度连接符，在用户界面和 GitHub 的拉取请求中隐藏恶意指令。

规则配置文件通常在开发者社区中共享，并通过开源代码库或项目模板进行分发。攻击者可以通过在论坛上分享恶意规则文件、在开源平台上发布该文件，或向热门代码库发送拉取请求来注入恶意规则文件。一旦被篡改的规则文件被导入到 GitHub Copilot 或 Cursor 中，人工智能代理在协助未来的编码项目时，就会读取并遵循攻击者的指令。例如，一个看似指示人工智能“遵循 HTML5 最佳实践”的规则文件可能包含隐藏文本，要求在每个文件的末尾添加一个外部脚本，并绕过安全检查。

Pillar 的研究人员发现，当被要求生成一个 HTML 页面时，GitHub Copilot 和 Cursor 都会遵循指令添加外部脚本，并且在自然语言回复中都没有提到添加了这个脚本。这种“规则文件后门”技术还可能被用于在生成的代码中引入安全漏洞，或创建会泄露敏感信息的代码。

Pillar 在 2025 年 2 月向 Cursor 披露了这一漏洞利用情况，并在 2025 年 3 月向 GitHub 披露了相关情况。Cursor 和 GitHub 均表示，管理风险是用户的责任，用户有责任审查并接受由人工智能生成的代码和建议。GitHub 2024 年的调查显示，约 97% 的受访者在工作中及工作外都使用过生成式人工智能，表明人工智能编码辅助在开发者中相当普遍。

Pillar 建议开发者审查他们使用的所有规则文件，检查是否存在不可见的 Unicode 字符或不寻常格式等潜在的恶意注入情况，并像审查可执行代码一样严格审查人工智能配置文件。对于人工智能生成的代码，尤其是外部资源引用等意外添加的内容，也应仔细审查。自动化检测工具也有助于识别规则文件中的可疑内容，或人工智能生成代码中存在被篡改的迹象。