Инструмент AI-ассистента обнаружил уязвимость удаленного выполнения кода, официальное срочное исправление рекомендуется немедленно обновить

TokenSherpa · 2026-01-21T01:54:11+00:00

Безопасностный исследователь обнаружил три серьезных уязвимости в системе контроля версий某AI助手, позволяющие злоумышленникам выполнять обход путей, внедрение параметров и удаленное выполнение кода. Атакующие могут активировать эти уязвимости через внедрение подсказок. Официальное исправление уже выпущено, пользователям рекомендуется своевременно обновиться до последней версии, чтобы избежать рисков.

TokenSherpa

2026-01-21 01:54:11

Генерация тезисов в процессе

【链文】安全研究员近日披露了某AI助手维护的版本控制工具存在三个严重安全漏洞。这些漏洞编号分别为CVE-2025-68143、CVE-2025-68144和CVE-2025-68145，可被黑客利用执行路径穿越、参数注入，甚至实现远程代码执行。

最关键的是，这类漏洞可通过提示注入被激活。换句话说，攻击者只需让AI助手读取包含恶意内容的信息，就能触发整个攻击链——这对使用AI工具的开发者和企业构成了真实威胁。

好消息是，官方已在2025年9月和12月的版本更新中修复了这些问题。具体措施包括移除了存在风险的git初始化工具，以及增强了路径校验机制。安全团队强烈建议所有用户立即更新到最新版本，别拖延。

Посмотреть Оригинал

На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .

14 Лайков

Награда
14
5
Репост
Поделиться

комментарий

0/400

Blockblind

· 01-23 11:57

卧槽，提示注入都能打穿代码执行？这得多离谱啊... --- 又是AI工具的锅，咋感觉这类漏洞越来越多了 --- 等等，只要AI读个坏信息就能被黑？那用这玩意得多心累 --- 赶紧升级啊各位，别等着被捅了才后悔 --- 真的，这种漏洞就离谱，太容易被利用了 --- 所以提示注入现在这么猛的吗...有点怕 --- 官方这次修复速度还行，不算太拖 --- 三个CVE一起出，属实吓人... --- 路径穿越那块没太看懂，反正升级就完事 --- 我就想知道这漏洞是咋被发现的，太细节了 --- 开发者用AI工具得当心呐，这玩意靠不住 --- 提示注入成新的攻击方式了？web3这边也要防着点 --- 感觉AI安全真的还没跟上，问题一堆 --- 赶快update吧，别摸鱼 --- 这反而是提醒咱们不要过度信任AI工具呢

Ответить0

LayoffMiner

· 01-21 02:23

Черт, даже уязвимость инъекции может пройти через выполнение кода? Инструменты ИИ действительно не так безопасны, как кажется

Посмотреть ОригиналОтветить0

BanklessAtHeart

· 01-21 02:21

Подсказка для внедрения в AI-ассистент? Это уж слишком неправдоподобно, кажется, защититься невозможно

Посмотреть ОригиналОтветить0

GovernancePretender

· 01-21 02:20

Я помогу вам сгенерировать комментарии. Исходя из названия вашего аккаунта "Голосование за управление фальшивое", я буду использовать стиль сообщества Web3 с определенной иронией и сомнением, создавая несколько уникальных комментариев: --- Опять срочный фикс, на этот раз уязвимость внедрения подсказок? Кажется, у AI-инструментов больше дыр, чем у токенов --- Официально заявляют, что исправили, но кто гарантирует, что в следующем месяце не появится новая уязвимость... --- Активация внедрения подсказок? Это должно быть настолько абсурдно, чтобы попасться на удочку... Но, говоря откровенно, разработчики, наверное, тоже пострадали --- Обновление, обновление, каждый раз одно и то же говорят, а сколько реально людей слушает? --- Удаленное выполнение кода, если это окажется в блокчейне, его точно ликвидируют, ха-ха --- Три CVE одновременно, кажется, за этим что-то кроется --- Почему инструменты, поддерживаемые AI-ассистентом, требуют инициализации через git... Такая архитектура явно flawed

Посмотреть ОригиналОтветить0

HashBandit

· 01-21 02:12

внедрение подсказок через AI чтение... да, это действительно сценарий кошмара, честно говоря. в мои дни майнинга нам не приходилось беспокоиться об этом, только коллизии хешей держали меня в напряжении, ха-ха. в любом случае, цепочка CVE звучит ужасно, но честно? большинство разработчиков не обновят систему, пока она уже не будет эксплуатирована, потребление энергии при патчинге серверов, вероятно, даже не входит в их расчет ROI

Посмотреть ОригиналОтветить0