Вредоносный код в репозиториях Microsoft ударил по AI-кодерам

Microsoft и GitHub столкнулись с неприятным развитием атаки на цепочку поставки ПО: десятки официальных репозиториев Microsoft были отключены после того, как исследователи нашли признаки вредоносных изменений, связанных с Miasma. TechCrunch пишет, что под ударом оказались проекты вокруг Azure и инструменты, которые разработчики часто открывают в AI-кодерах вроде Claude Code, Gemini CLI, Cursor и VS Code.

По данным StepSecurity и OpenSourceMalware, GitHub отключил 73 репозитория в организациях Azure, Azure-Samples, Microsoft и MicrosoftDocs. Среди упомянутых проектов — Azure Functions, Durable Task и AI sample apps. Полной публичной хронологии от Microsoft по этому эпизоду на момент публикации нет, но сама компания уже отдельно описывала Miasma как кампанию по краже учётных данных в developer-экосистеме.

Почему это опаснее обычного вредоноса

Классическая осторожность разработчика звучала просто: не запускай непонятный код, не ставь подозрительные пакеты, не вставляй секреты в репозиторий. AI-кодеры меняют эту границу. Агенту часто дают доступ к рабочей папке, терминалу, файлам конфигурации, токенам, переменным окружения и истории проекта. Если вредоносная конфигурация срабатывает уже при открытии репозитория в таком инструменте, момент доверия наступает раньше, чем человек успевает принять осознанное решение.

Именно это делает Miasma важной историей для обычных команд, а не только для security-отделов Microsoft. По описанию исследователей, вредоносная логика была рассчитана на кражу GitHub, npm, AWS, Azure, Google Cloud, Kubernetes и других секретов разработчика. В худшем сценарии это не просто взлом одного проекта: украденный токен может дать атакующему путь к новым репозиториям, CI/CD, облачным ресурсам и пакетам, которые потом скачивают другие команды.

AI-агент стал частью поверхности атаки

Главный сдвиг здесь не в названии конкретного червя. Miasma показывает, что AI-инструменты разработки уже стали достаточно массовыми и привилегированными, чтобы атакующие писали payload под их поведение. Раньше IDE была редактором и запускателем команд. Теперь рядом с ней работает агент, который сам читает файлы, предлагает патчи, запускает тесты и иногда получает больше контекста, чем новый сотрудник в первый день.

Для компаний это меняет практику. Репозиторий из известной организации больше нельзя автоматически считать безопасным, если он только что оказался в цепочке компрометации. Открытие проекта в AI-кодере должно попадать в ту же политику риска, что установка пакета или запуск build script. Нужны отдельные правила для доступа агента к секретам, sandbox для неизвестных проектов, мониторинг неожиданных исходящих соединений и быстрая ротация токенов после инцидента.

Разработчикам, которые могли открывать затронутые репозитории, разумная реакция такая же, как при подозрении на утечку ключей: проверить историю команд и сетевых запросов, пересоздать GitHub и cloud credentials, отключить лишние токены, посмотреть CI/CD secrets и не полагаться на то, что блокировка репозитория сама по себе закрыла риск. AI-агент ускоряет работу, но он же ускоряет и путь вредоноса к тому, что раньше лежало за несколькими ручными шагами.

Что теперь понятно рынку

Эта атака вписывается в более широкий ряд инцидентов 2026 года: заражённые пакеты, вредоносные расширения, поддельные репозитории и атаки на CI/CD всё чаще нацелены на разработчиков, которые работают с AI. Причина проста: один современный developer workstation может содержать ключи к облаку, GitHub, package registry, внутренним документам и агентным инструментам.

Вывод не в том, что от AI-кодеров нужно отказаться. Вывод в том, что они перестали быть «умной автодополнялкой» и стали полноценным участником инфраструктуры. Их надо ограничивать, логировать и проверять так же серьёзно, как production-доступ. Miasma неприятна именно этим уроком: в эпоху AI-разработки опасным может быть не только команда npm install, но и сам момент, когда помощник впервые заглянул в чужой проект.