El "Autofix" de GitHub Copilot permitió a Wiz Red Agent acceder al Jira interno de Snowflake

AI-Generated GitHub Copilot "Autofix" Allowed Compromise of Snowflake's Jira

Wiz Research, a través de su herramienta autónoma de seguridad impulsada por IA 'Red Agent', descubrió una vulnerabilidad crítica de inyección de comandos en un repositorio público de Snowflake. El fallo, introducido por un commit coautorado por 'Copilot Autofix powered by AI', permitía a cualquier usuario ejecutar comandos arbitrarios en un runner de GitHub Actions abriendo un issue con un título especialmente diseñado. Red Agent explotó la vulnerabilidad, exfiltró credenciales de Jira y obtuvo acceso de lectura a proyectos internos de Snowflake. Snowflake parcheó el problema el mismo día de la divulgación responsable y rotó las credenciales afectadas.