GitHub Copilot CLI: Vulnerabilidad permite ejecutar malware

Investigadores han descubierto una vulnerabilidad crítica en la nueva interfaz de línea de comandos (CLI) de GitHub Copilot que permite la descarga y ejecución de malware sin la aprobación del usuario. La falla, identificada tras el lanzamiento general de la CLI hace dos días, se produce debido a una inyección de comandos indirecta que elude el sistema de validación de comandos. El ataque explota una lista de comandos 'read-only' codificada en el código fuente, permitiendo que comandos maliciosos, como la descarga de un script desde un servidor externo utilizando env curl | env sh, se ejecuten automáticamente sin el habitual proceso de aprobación humana. GitHub ha reconocido el problema, pero lo considera un riesgo de seguridad no significativo y no tiene planes inmediatos para solucionarlo completamente. La vulnerabilidad es específica de macOS, aunque se han identificado otras vulnerabilidades adicionales en Copilot que aún no se han revelado públicamente. La brecha subraya la importancia de la seguridad en las herramientas de inteligencia artificial y la necesidad de una validación más robusta de los comandos, incluso en aquellos considerados 'read-only'.