Een beveiligingsonderzoeker heeft een nieuwe techniek, Cryptographic Context Injection (CCI) genaamd, ontdekt die de GitHub Copilot CLI kan misbruiken. Deze methode maakt gebruik van versleutelde tekst om kwaadaardige instructies te verbergen, waardoor gebruikelijke beveiligingscontroles voor prompt-injectie worden omzeild. Dit onderzoek is gebaseerd op eerdere CCI-studies die aantoonden hoe versleutelde instructies binnen een AI-runtime konden worden ontsleuteld en vervolgens als vertrouwde uitvoer werden behandeld.

Het probleem manifesteert zich wanneer Copilot CLI in de 'autopilot'-modus draait en een ontwikkelaar de tool vraagt een externe URL te bezoeken. De kwaadaardige webpagina verbergt zijn instructies niet als standaardtekst, maar presenteert deze als versleutelde gegevens. Copilot CLI wordt vervolgens geïnstrueerd om deze gegevens te ontsleutelen met behulp van Python. Zodra de agent de inhoud in zijn eigen shell-omgeving heeft ontsleuteld, kunnen de resulterende instructies worden uitgevoerd alsof ze afkomstig zijn van een betrouwbaar intern proces, in plaats van een potentieel onbetrouwbare webpagina.

De methode maakt gebruik van een misleidende voorbereidingsstap die een "sleutel" gebruikt. Hierbij wordt een echte sleutel gecombineerd met een sjabloon dat de agent ertoe aanzet lokale bestanden te lezen voordat een ontsleutelingspoging plaatsvindt. De eerste ontsleutelingspoging mislukt opzettelijk, maar de gevoelige bestandsinhoud is op dat moment al verzameld. Vervolgens gebruikt de agent de geldige sleutel om een tweede set instructies te ontsleutelen, waarna een webverzoek wordt uitgevoerd met de verzamelde gegevens.

Tijdens een demonstratie kon de agent binnen 28 seconden een lokaal .env.prod-bestand lezen en de inhoud ervan versturen naar een door een aanvaller gecontroleerd eindpunt. De gebruiker ontving hierbij geen duidelijke waarschuwing dat een lokaal bestand was geopend of dat de gegevens het apparaat hadden verlaten.

Deze techniek kan potentieel alle gegevens targeten die toegankelijk zijn voor de agent. Dit omvat broncode, configuratiebestanden, inloggegevens of tokens, zelfs als deze zich buiten de actieve projectmap bevinden, mits de agent de juiste permissies heeft om deze te lezen. Eerder onderzoek naar Copilot toonde al aan hoe prompt-injectie kon worden ingezet om tokens en gevoelige repositorygegevens te stelen wanneer AI-tools onbetrouwbare inhoud van GitHub verwerkten.

Er werd inconsistente beveiliging waargenomen tussen de verschillende modellen die via Copilot worden aangeboden. Microsoft's mai-code-1.1-flash voerde de volledige keten succesvol uit in de helft van de tests, terwijl twee GPT-5.6 modellen dezelfde instructies weigerden. Dit vormt een probleem voor gebruikers die de modelselectie op 'Auto' hebben ingesteld, omdat de routering verschillende modellen kan selecteren tussen sessies zonder dat duidelijk wordt aangegeven welk model een specifieke taak heeft verwerkt.

Het bug bounty-team van GitHub heeft de melding gevalideerd, maar heeft deze niet geclassificeerd als een beveiligingskwetsbaarheid. GitHub stelde dat de gebruiker Copilot expliciet toestemming had gegeven om autonoom door de door de aanvaller gecontroleerde inhoud te halen. De onderzoekers waren het hier niet mee eens en benadrukten dat de versleuteling beschermingen omzeilde die dezelfde instructies in platte tekst zouden hebben afgewezen. Statische filters kunnen leesbare inhoud wel controleren, maar voeren doorgaans geen cryptografische bewerkingen uit om verborgen tekst te ontsluiten.

Organisaties die Copilot CLI gebruiken, wordt aangeraden om te voorkomen dat autonome agents onbetrouwbare pagina's bezoeken met brede lokale-bestands- en netwerkpermissies. Beveiligingsteams wordt geadviseerd om opgeloste tool-argumenten te loggen, te alarmeren wanneer webinhoud wordt gevolgd door code-uitvoering of het lezen van lokale bestanden, en onverwachte uitgaande bestemmingen te blokkeren. Gevoelige inloggegevens dienen, waar mogelijk, buiten de bereiken van bestanden die door de agent gelezen kunnen worden, te worden bewaard. De beveiliging van AI-codeertools vereist het monitoren van de daadwerkelijke acties van de agent, en niet uitsluitend het scannen van de ontvangen tekst.