L’extension Amazon Q pour VS Code est livrée avec un prompt injecté visant à effacer les systèmes des utilisateurs
Un attaquant a utilisé un jeton GitHub aux droits mal délimités pour soumettre du code à l’extension open source Amazon Q Developer pour VS Code, et AWS l’a livré dans la version 1.84.0. Le code contenait un prompt ordonnant à l’agent IA d’effacer le répertoire personnel de l’utilisateur et de supprimer ses ressources cloud AWS, mais selon AWS, il ne s’est pas exécuté à cause d’une erreur de syntaxe. AWS a révoqué les identifiants, retiré la version 1.84.0 de la distribution et publié une version 1.85.0 saine.
Une personne se disant responsable a déclaré à 404 Media avoir soumis une pull request depuis un compte sans accès préalable, s’être ensuite vu accorder des identifiants d’administrateur, et avoir rendu volontairement le script d’effacement défectueux pour exposer les pratiques de sécurité d’AWS. Le script transmettait le prompt à l’interface en ligne de commande d’Amazon Q avec les arguments --trust-all-tools et --no-interactive, et la version compromise est restée environ deux jours sur la place de marché de VS Code.
Ce qui l’aurait évité
Limiter les jetons d’intégration continue au strict minimum et exiger une relecture humaine de chaque commit avant la livraison d’une version automatisée.
Garde-fous
- G1 Moindre privilège Défaillant Le jeton GitHub de CodeBuild était mal délimité, ce qui a permis à l’attaquant de soumettre du code au dépôt de l’extension.
- G2 Validation humaine Défaillant Le prompt injecté exécutait la CLI de Q avec --trust-all-tools et --no-interactive, contournant la confirmation de l’utilisateur.
- G3 Isolement Non évalué L’agent était-il séparé des systèmes de production et du monde extérieur ?
- G4 Intégrité des instructions Non évalué A-t-il refusé les instructions qu’il n’aurait pas dû suivre ?
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Défaillant AWS a publié la version compromise sans le savoir ; elle est restée environ deux jours sur la place de marché.
- G8 Réversibilité A tenu AWS a retiré la version 1.84.0 des canaux de distribution et publié une version 1.85.0 saine.
Sources
-
“With that access token, the threat actor was able to commit malicious code into the extension's open-source repository that was automatically included in a release.”
-
“A hacker compromised a version of Amazon’s popular AI coding assistant ‘Q’, added commands that told the software to wipe users’ computers, and then Amazon included the unauthorized update in a public release of the assistant this month, 404 Media has learned.”
-
“The official Amazon Q extension for Visual Studio Code (VS Code) was compromised to include a prompt to wipe the user's home directory and delete all their AWS resources.”
-
“Amazon was completely unaware of the breach and published the compromised version, 1.84.0, on the VSC market on July 17, making it available to the entire user base.”
L’indice de confiance de 96 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 4 sources