Claude Code атака через DNS: как AI-агент запускает вредоносный скрипт из GitHub

Андрей Отинов -

Исследователи безопасности с платформы 0DIN (Mozilla GenAI bug bounty) обнаружили новый вектор атаки на разработчиков, использующих AI-агента Claude Code. Злоумышленник может получить полный контроль над машиной разработчика через обычный на вид GitHub-репозиторий — без единой строки вредоносного кода в самом репозитории.

Источник: the-decoder.com

Для бизнеса это означает: любой сотрудник, который открывает сторонний репозиторий с помощью Claude Code, может скомпрометировать корпоративные системы. API-ключи, логины и доступ к инфраструктуре оказываются под угрозой.

Проверьте, какие AI-агенты используются в вашей команде, и введите правило: ни один скрипт из стороннего репозитория не должен выполняться без предварительного просмотра.

Что именно произошло: атака через DNS и установочный скрипт

29 июня 2026 года исследователи 0DIN опубликовали описание атаки, которая использует особенности работы Claude Code. Вредоносный репозиторий на GitHub выглядит как обычный проект с документацией и кодом. При открытии такого репозитория Claude Code автоматически запускает установочный скрипт.

Скрипт не содержит вредоносного кода — он загружает команду из DNS-записи во время выполнения. Это делает атаку невидимой для сканеров безопасности, ревью кода и самого AI-агента. Claude Code видит только безобидный скрипт, но при выполнении тот открывает reverse shell — канал, через который злоумышленник получает полный доступ к машине.

После этого атакующий может: - извлечь API-ключи и логины; - получить постоянный доступ к системе; - использовать машину как точку входа в корпоративную сеть.

Почему это касается каждой команды, использующей AI-агентов

Атака не требует сложных технических навыков от жертвы. Достаточно одного клика по ссылке в вакансии, туториале или сообщении в Slack. Любой разработчик, тестировщик или инженер, который использует Claude Code для работы с чужим кодом, становится потенциальной целью.

Для руководителя это означает: - риск компрометации корпоративных репозиториев; - утечку ключей доступа к облачным сервисам; - потерю контроля над инфраструктурой разработки.

Проблема не ограничивается Claude Code. Любой AI-агент, который автоматически выполняет скрипты из сторонних источников без проверки, уязвим для подобной атаки.

Как атака работает: пошаговый сценарий

Шаг Действие Результат для жертвы
1 Злоумышленник создает репозиторий с установочным скриптом Репозиторий выглядит как обычный проект
2 Разработчик открывает репозиторий через Claude Code AI-агент запускает установочный скрипт
3 Скрипт загружает команду из DNS-записи Вредоносный код не хранится в репозитории
4 Claude Code выполняет команду Открывается reverse shell
5 Злоумышленник получает доступ к машине API-ключи, логины, инфраструктура под угрозой

Что можно проверить за неделю без перестройки компании

  1. Определите, какие AI-агенты используются в команде. Составьте список инструментов, которые автоматически выполняют код из репозиториев.
  2. Проверьте политики выполнения скриптов. Убедитесь, что AI-агенты не запускают установочные скрипты без подтверждения пользователя.
  3. Настройте изоляцию (sandboxing). Запускайте AI-агентов в среде с ограниченными правами — без доступа к API-ключам, продакшен-инфраструктуре и корпоративным репозиториям.
  4. Введите правило просмотра скриптов. Перед выполнением любого скрипта из стороннего репозитория его должен проверить человек.
  5. Обучите команду. Объясните разработчикам, что ссылка на репозиторий в вакансии или туториале может быть атакой.

Что может не сработать и где остаются риски

  • Обновления AI-агентов. Разработчики инструментов (Anthropic для Claude Code) могут выпустить исправления, но это не гарантирует полной защиты. Атака использует фундаментальную особенность: AI-агент доверяет скрипту из репозитория.
  • Сканеры безопасности. Вредоносный код не хранится в репозитории, поэтому традиционные сканеры его не обнаружат. DNS-запись может быть изменена после проверки.
  • Человеческий фактор. Разработчик может не заметить подозрительную DNS-запись или проигнорировать предупреждение AI-агента.
  • Сторонние репозитории. Даже если ваша команда не использует Claude Code, другие AI-агенты могут иметь аналогичные уязвимости.

Что сделать на этой неделе: практический чек-лист

  • [ ] Составить список всех AI-агентов, используемых в команде, и проверить их политики выполнения кода.
  • [ ] Настроить изоляцию (sandboxing) для AI-агентов — ограничить доступ к API-ключам и продакшен-инфраструктуре.
  • [ ] Ввести правило: любой скрипт из стороннего репозитория перед выполнением проверяется человеком.
  • [ ] Провести короткое обучение команды: как распознать подозрительный репозиторий и что делать при подозрении на атаку.
  • [ ] Проверить, есть ли у используемых AI-агентов режим "только просмотр" без автоматического выполнения.
  • [ ] Настроить мониторинг DNS-запросов для обнаружения подозрительных команд, загружаемых во время выполнения.

Источники

Дополнительные материалы

Примеры реальных инцидентов

Хотя атака через DNS-записи является новой, подобные методы уже использовались в прошлом. Например, в 2023 году была зафиксирована атака на разработчиков через вредоносные npm-пакеты, которые загружали команды из внешних источников. Это подчеркивает важность проактивной защиты.

Рекомендации по настройке sandboxing

Для изоляции AI-агентов можно использовать Docker-контейнеры или виртуальные машины. Пример конфигурации для Docker:

FROM python:3.11-slim
RUN useradd -m sandbox
USER sandbox
COPY --chown=sandbox:sandbox . /app
WORKDIR /app
CMD ["python", "script.py"]

Этот контейнер не имеет доступа к API-ключам и другим чувствительным данным.

Вопросы для обсуждения с командой

  1. Какие AI-агенты мы используем и какие у них политики выполнения кода?
  2. Есть ли у нас процессы для проверки сторонних репозиториев?
  3. Как мы можем улучшить мониторинг подозрительной активности?

Эти вопросы помогут выявить слабые места и разработать план действий.

Заключение

Атака через DNS-записи — это серьезная угроза, которая требует немедленного внимания. Используя чек-лист и рекомендации из этой статьи, вы сможете снизить риски и защитить свою команду. Помните: безопасность — это непрерывный процесс, а не разовое действие.

Генерация изображения

  • Модель: flux-schnell
  • Провайдер: replicate

Темы журнала

Что почитать дальше