GitHub je objavio da su napadači koji su kompromitirali 3.800 internih repozitorija pristup dobili preko zlonamjerne verzije Nx Console VS Code ekstenzije, povezane s TanStack npm supply-chain napadom.
GitHub je objavio da su napadači koji su kompromitirali 3.800 internih repozitorija pristup dobili preko zlonamjerne verzije Nx Console VS Code ekstenzije, povezane s TanStack npm supply-chain napadom.
Razvojni alati, ekstenzije i CI/CD tokeni postali su kritična napadna površina. Napadači ne moraju izravno provaliti u produkciju ako mogu doći do repozitorija, tajni, workflowa i paketa koji kasnije ulaze u softverski lanac. Supply-chain napadi pogađaju povjerenje u softver. Jedan kompromitirani paket ili ekstenzija može se proširiti kroz velik broj organizacija, posebno ako developeri rutinski instaliraju alate iz javnih repozitorija.
GitHubov slučaj pokazuje koliko su razvojne ekstenzije i paketi postali kritična točka softverskog lanca opskrbe. Napadač koji kompromitira alat koji developeri rutinski koriste može doći do repozitorija, tajni, workflowa i paketa koji kasnije ulaze u produkciju. Time se granica napada pomiče iz aplikacije prema razvojnom okruženju.
TanStack npm supply-chain napad i zlonamjerna verzija Nx Console ekstenzije podsjećaju da povjerenje u javne repozitorije mora biti aktivno upravljano. Developeri trebaju brzinu i praktičnost, ali organizacije moraju znati koje ekstenzije dopuštaju, kako rotiraju tajne i tko ima pravo objavljivanja paketa. Bez te kontrole jedan kompromitirani alat može imati tisuće posljedica.
Za europske tvrtke i javni sektor ovo se izravno povezuje s NIS2, DORA-om i zahtjevima za upravljanje dobavljačkim rizikom. SBOM, potpisivanje paketa, ograničavanje tokena i provjera CI/CD procesa više nisu dodatna sigurnosna zrelost, nego dio osnovne odgovornosti. Posebno je važno ukloniti trajne tajne iz razvojnih okruženja.
Ovaj incident treba ući u sigurnosne kontrole svakog razvojnog tima. Pregled ekstenzija, revizija pristupa repozitorijima, rotacija tokena i nadzor promjena u build procesu moraju postati redovita praksa. GitHubov slučaj zato nije samo vijest o jednom breachu, nego upozorenje da se softverski lanac brani od prvog developerskog alata do produkcijske isporuke.
Direktor tvrtke Gordan Palić izjavio je povodom lansiranja da su gledali kako talentirani ljudi iz Hrvatske i regije rintaju mjesecima stvarajući sjajan digitalni sadržaj, da bi ih onda preko noći uništila neka promjena algoritma u Kaliforniji, što je suludo, te da su zato htjeli stvoriti platformu gdje nitko ne stoji između autora i njegove publike.
Sigurnosni istraživači otkrili su kako je zlonamjerna datoteka AGENTS.md, neprimjetno spremljena u korisnikovu mapu Downloads, navela AI programerskog agenta da instalira lažni npm paket. Pritom glavna slabost nije bila klasičan propust modela nego automatsko povjerenje u lokalne upute pronađene u radnom direktoriju.
OpenAI je u ChatGPT-u uveo strože sigurnosne protokole kojima želi smanjiti rizik od nasilja u stvarnom svijetu i bolje zaštititi maloljetnike. Promjene uključuju dodatna ograničenja pristupa praktičnim informacijama o oružju te mogućnost automatskog prekidanja razgovora u slučajevima zabrinjavajućih obrazaca ponašanja.
