Lỗ hổng trên GitHub Copilot cho phép âm thầm trích xuất mã nguồn và API Key

[WhiteHat Team]

Giới nghiên cứu an ninh mạng ghi nhận một phương thức tấn công mới nhắm vào GitHub Copilot Chat, liên quan đến lỗ hổng CVE-2025-59145 với điểm CVSS 9.6. Phương thức này không sử dụng chiếm quyền hệ thống hay mã độc truyền thống, mà khai thác cách mô hình AI xử lý dữ liệu đầu vào để làm rò rỉ thông tin nhạy cảm trong quá trình tương tác.
​

​

Theo tài liệu kỹ thuật, phương pháp tấn công được gọi là CamoLeak, dựa trên việc chèn câu lệnh trong các pull request để thao túng Copilot. Kẻ tấn công chèn các chỉ thị ẩn vào markdown comment, vốn không hiển thị với người kiểm tra mã nhưng vẫn được Copilot đọc như dữ liệu đầu vào. Khi lập trình viên yêu cầu Copilot tóm tắt hoặc phân tích pull request, mô hình AI tiếp nhận đồng thời cả nội dung hiển thị và nội dung ẩn, từ đó bị điều khiển để truy xuất dữ liệu nhạy cảm trong các kho mã mà người dùng có quyền truy cập, bao gồm API key, token hoặc đoạn mã riêng tư. Sau khi thu thập, Copilot tiếp tục bị thao túng để mã hóa dữ liệu thành chuỗi URL hình ảnh và chèn trực tiếp vào phản hồi, biến quá trình hiển thị nội dung thành một kênh rò rỉ gián tiếp.

Một điểm đáng chú ý là cơ chế này có thể vượt qua Content Security Policy (CSP) của GitHub. Thay vì gửi dữ liệu ra máy chủ bên ngoài theo cách trực tiếp, kẻ tấn công lợi dụng dịch vụ proxy hình ảnh hợp pháp Camo để che giấu lưu lượng. Các URL được thiết kế để ánh xạ từng ký tự dữ liệu thành một tài nguyên hình ảnh tương ứng, khiến trình duyệt tự động gửi yêu cầu tải ảnh và vô tình phát tán thông tin ra ngoài thông qua hạ tầng đáng tin cậy của GitHub. Do toàn bộ lưu lượng đi qua hệ thống hợp pháp, hành vi rò rỉ này rất khó bị phát hiện bằng các công cụ giám sát truyền thống, khiến CamoLeak trở thành một phương thức exfiltration nguy hiểm nhưng khó nhận diện.

Các chuyên gia cảnh báo kỹ thuật CamoLeak này không chỉ giới hạn ở GitHub Copilot Chat mà có thể ảnh hưởng đến nhiều hệ thống AI khác như Microsoft Copilot hay Google Gemini nếu các mô hình này được cấp quyền truy cập rộng vào dữ liệu nội bộ. Sự cố cho thấy một khoảng trống lớn trong an ninh AI, nơi chèn lệnh vào prompt không cần thực thi mã nhưng vẫn có thể thao túng hành vi và luồng dữ liệu của hệ thống. Việc kiểm soát nguồn dữ liệu đầu vào, thu hẹp phạm vi truy cập và giám sát hành vi mô hình đang trở thành yêu cầu bắt buộc để giảm thiểu rủi ro tương tự.

Trên thực tế, GitHub đã lặng lẽ khắc phục lỗ hổng CVE-2025-59145 từ tháng 8/2025 bằng cách vô hiệu hóa khả năng hiển thị hình ảnh trong cửa sổ chat, tuy nhiên thông tin chi tiết về vụ việc chỉ mới được công bố rộng rãi gần đây, qua đó cho thấy nhiều rủi ro có thể đã tồn tại và được xử lý trước khi được công khai.
​

Theo Cyber Press​