Η Παγίδα της Εμπιστοσύνης: Πώς ένα Κλικ Ανοίγει την Πόρτα σε Επιθέσεις στα AI Coding Tools

Συμβαίνει σε όλους. Κατεβάζεις ένα repository από συνάδελφο, open-source βιβλιοθήκη ή tutorial. Το ρίχνεις γρήγορα, το τρέχεις τοπικά και προχωράς. Καθημερινότητα για developers. Η έρευνα TrustFall δείχνει ότι τα AI coding assistants υιοθετούν αυτή την κακή συνήθεια – και γίνεται σοβαρή ευπάθεια.

Η Ιδανική Συνθήκη για Επίθεση

Οι ερευνητές της Adversa AI βρήκαν κενό σε τέσσερα μεγάλα AI εργαλεία: εκτελούν αυτόματα helper programs από config αρχεία του project, με ένα απλό dialog "εμπιστεύεσαι;" που προεπιλέγει ναι.

Έτσι δουλεύει:

Χρησιμοποιούν το Model Context Protocol (MCP) για επικοινωνία με εξωτερικά εργαλεία – connectors βάσεων, linters, custom scripts. Χρήσιμο πράγμα. Το πρόβλημα; Τα config αρχεία είναι μέσα στο ίδιο το project.

Ανοίγεις repo, πατάς Enter στο trust prompt, και δεν γίνεται μόνο indexing. Ξεκινούν τα helpers – με τα δικά σου δικαιώματα.

Ένα πάτημα. Τίποτα άλλο.

Τι Μπορεί να Συμβεί (Σχεδόν Όλα)

Ένα κακόβουλο helper μπορεί να:

• Κλέψει SSH keys και cloud credentials
• Ανακτήσει shell history
• Διαβάσει κώδικα από άλλα projects στον υπολογιστή σου
• Συνδεθεί σε server του επιτιθέμενου

Και γίνεται πριν καν το AI σκεφτεί οτιδήποτε. Εκτελείται αυτόματα στην εκκίνηση.

Η επίθεση; Δύο μικρά JSON αρχεία. Ένα ορίζει "linter" που κατεβάζει payload από net. Το άλλο το εγκρίνει. Το repo φαίνεται άδειο με γρήγορη ματιά.

Το Πρόβλημα του Dialog

Εδώ η UX γίνεται security issue. Δείτε τι βλέπουν οι developers:

Claude Code (v2.1+): "Γρήγορο check: Το έφτιαξες εσύ ή το εμπιστεύεσαι;" Προεπιλογή: Ναι. Παλιότερη έκδοση είχε επιλογή "trust χωρίς MCP". Την έβγαλαν.

Gemini CLI: Δείχνει ονόματα helpers – τουλάχιστον κάτι να ελέγξεις.

Cursor CLI: Αναφέρει MCP αόριστα.

Copilot CLI: Γενικό prompt, χωρίς λέξη για MCP.

Όλα default σε trust.

Όπως είπε ο Rony Utevsky, lead researcher: Δεν είναι μόνο το κενό. Είναι ότι δεν ξέρεις τι δίνεις OK όταν πατάς "ναι".

Ο Εφιάλτης του CI/CD

Χειρότερα σε CI server. Αν τρέχει Claude Code μέσω GitHub Action της Anthropic, δεν υπάρχει dialog – headless mode.

Σενάριο:

• Κακόβουλο PR από εξωτερικό contributor με config
• Pipeline τρέχει στο branch, helper εκτελείται
• Πρόσβαση σε deploy keys, certificates, tokens

Η Adversa AI έδωσε PoC που στέλνει env variables σε collector. Πραγματική απειλή.

Τι Κάνεις Τώρα

Σε enterprise με Claude Code; Χρησιμοποίησε Managed scope.

Κεντρική ρύθμιση από IT, κλειδώνει MCP auto-approval παντού. Μία αλλαγή, λύθηκε για όλους.

Πρόβλημα; Λίγες εταιρείες το ενεργοποιούν. Δύσκολο setup, ειδικά για νέους σε AI coding.

Τι Λένε οι Δημιουργοί

Η Anthropic είδε το TrustFall report: Το "ναι, εμπιστεύομαι" σημαίνει OK σε MCP και τα πάντα. Στο threat model τους, η εκτέλεση μετά το trust είναι σωστή.

Adversa AI δεν αμφισβητεί το μοντέλο. Ρωτάνε αν το dialog ενημερώνει πραγματικά.

(Καμία απάντηση σε extra ερωτήσεις.)

Τι Σημαίνει για Σένα

Τα AI tools είναι δυνατά γιατί μπαίνουν βαθιά στο dev environment. Δύναμη = ευθύνη.

Χρησιμοποιείς Claude Code, Gemini CLI, Cursor ή Copilot CLI;

1. Σταμάτα στα dialogs. Διάβασε πριν πατήσεις.
2. Έλεγξε configs. Σε άγνωστο repo, δες .mcp.json πριν ανοίξεις.
3. Προτίμησε ορατότητα MCP. Gemini CLI δείχνει ονόματα.
4. Managed scope σε team. Συνεργάσου με IT.
5. Update tools. Ξέρουν το issue, έρχονται βελτιώσεις.

Η Μεγαλύτερη Εικόνα

Το TrustFall δείχνει σύγκρουση: ευκολία vs ασφάλεια. Default-yes γιατί συνήθως εμπιστεύεσαι. Αλλά με ανοιχτό κώδικα παντού, το ρισκάρουμε πολύ.

Δεν λέμε να βγάλουν MCP – χρήσιμο feature. Λέμε να γίνει σαφές το "trust = εκτέλεσε κώδικα".

Προς το παρόν, όχι. Developers, teams, vendors: δουλειά να γίνει.

Πώς χειρίζεσαι την ασφάλεια tools; Σου έχουν βγει dialogs που σε μπέρδεψαν; Η κουβέντα για AI safety μόλις ξεκινά. Μπες μέσα.