CodeAudit AI dërgonte kod pa kërkesë nga VS Code

Hetimi i publikuar më 13 tetor 2026 zbuloi se shtesa CodeAudit AI për Visual Studio Code dërgonte automatikisht kod të ngjitur drejt shërbimit të saj, pa kërkesë për analizë nga zhvilluesi. WebPulse përshkruan edhe pragun e vërejtur: ngjitja e më shumë se rreth 50 karaktereve aktivizonte dërgimin në sfond. Për ekipet që e kanë përdorur shtesën, kontrolli nis me instalimet, projektet e hapura dhe trafikun dalës.

Shtesa vëzhgonte redaktimet në skedarët e zakonshëm të hapur në VS Code dhe mbante një regjistër lokal të tekstit të shkruar, të ngjitur ose të fshirë. Ajo dërgonte edhe të dhëna për projektin pa veprim të përdoruesit. Komunikimi me shërbimin e pasmë kryhej përmes HTTP-së së pakriptuar; për këtë arsye, vlerësimi i ekspozimit duhet të përfshijë si përmbajtjen që mund të ketë dalë nga pajisja, ashtu edhe sekretet që mund të kenë qenë në të.

Çfarë mblidhte dhe dërgonte shtesa

Rruga automatike e ngarkimit ishte e ndarë nga komandat e dukshme të analizës me AI. Në analizën teknike të Akamai, kërkesat drejtoheshin te http://65.1.14.40:8000/api/v1, ndërsa aktiviteti ruhej lokalisht në ~/.ai_extension_logs/activity_tracker.txt. Rruga që dërgonte tekstin e ngjitur nuk përdorte të njëjtin kontroll pëlqimi si komandat që zhvilluesi niste vetë.

Kur ndodhte një ngjitje që kalonte pragun e përshkruar, ngarkesa përfshinte tekstin, emrin e skedarit, emrin e hapësirës së punës, kohën e veprimit, identifikuesin e përdoruesit dhe rrugën lokale të projektit. Kjo mund të lidhte një fragment kodi me projektin dhe përdoruesin përkatës. Nisja e një analize me AI nuk ishte kusht për transmetimin: veprimi i zakonshëm i ngjitjes mjaftonte për të aktivizuar këtë rrugë.

Vëzhguesi i redaktimeve klasifikonte shkrimin, fshirjen dhe ngjitjen e tekstit gjatë sesionit të VS Code. Regjistri lokal përmbante kodin e këtyre veprimeve, jo vetëm emra skedarësh apo mesazhe diagnostikuese; pas përditësimeve, shtesa ia ndryshonte lejet në vetëm për lexim dhe i hapte përkohësisht për të shtuar hyrje të reja. Regjistri dhe dërgimi në rrjet duhen dalluar: një hyrje lokale dëshmon ruajtjen e aktivitetit në pajisje, por nuk tregon vetvetiu përmbajtjen e një kërkese të dërguar.

Veçmas kodit të ngjitur, shtesa transmetonte të dhëna për hapësirën e punës dhe depon: degën Git, adresën e depos së largët, strukturën e dosjeve, varësitë dhe statistika të projektit. Këto veprime ndodhnin gjatë nisjes, hapjes së hapësirës së punës, ndryshimit të degës dhe detyrave periodike në sfond. Meqë lidhja përdorte HTTP pa TLS, të dhënat e transmetuara, përfshirë kodin ose tokenët e autentikimit kur ishin pjesë e komunikimit, mund të përgjoheshin ose ndryshoheshin nga dikush me qasje në rrugën e rrjetit.

Si të identifikohet instalimi i CodeAudit AI

Identifikuesi që duhet kërkuar në inventarin e shtesave është TejasKulkarni.codeaudit-ai. Dokumentacioni i VS Code tregon se komanda code --list-extensions --show-versions rendit shtesat e instaluara bashkë me versionet e tyre. Pamja e shtesave të instaluara përfshin edhe ato të çaktivizuara, ndaj një kontroll vetëm i shtesave aktive mund të lërë jashtë gjurmë të dobishme.

Inventari duhet të mbulojë profilet e përdorura për zhvillim dhe mjediset e largëta, nëse puna kryhet përmes SSH, kontejnerëve të zhvillimit ose WSL. Shtesat e një dritareje të largët nuk sinkronizohen domosdoshmërisht me instalimin lokal. Për çdo përputhje, shënoni pajisjen, llogarinë, versionin, projektet e hapura dhe periudhën e mundshme të përdorimit. Këto të dhëna e kufizojnë kërkimin pasues te mjediset ku shtesa mund të ketë vepruar.

Kërkoni edhe regjistrin lokal të identifikuar në hetim, në llogarinë ku është përdorur VS Code. Trajtojeni si përmbajtje të ndjeshme, sepse mund të mbajë kod burimor dhe sekrete; ruani kopjen e nevojshme për hetim përpara pastrimit të pajisjes. Mungesa e skedarit nuk mjafton për të përjashtuar një instalim të mëparshëm, veçanërisht nëse profili, pajisja ose të dhënat lokale janë ndryshuar.

Si të vlerësohet dalja e të dhënave

Regjistrat e rrjetit mund të tregojnë nëse një pajisje me shtesën ka komunikuar me destinacionin e identifikuar në hetim. Krahasoni kohën e lidhjeve dalëse HTTP me periudhën kur CodeAudit AI ishte e instaluar dhe me projektet e hapura në atë pajisje. Një përputhje e tillë është provë më e fortë për komunikimin sesa instalimi i vetëm; pa përmbajtjen e kërkesave, ajo nuk përcakton cilin fragment kodi ka marrë shërbimi.

Nëse regjistrat ruajnë hollësi të kërkesave, shqyrtoni llojin e të dhënave të dërguara dhe lidhjen e tyre me skedarët përkatës. Vlerësoni veçmas ngjitjet e kodit, të dhënat e projektit dhe mundësinë që kredencialet të kenë qenë pjesë e përmbajtjes. Hetimi publik nuk përcakton sa zhvillues e instaluan shtesën ose çfarë ndodhi me kodin pasi arriti te shërbimi; prandaj numri i instalimeve në një organizatë nuk është numër i konfirmuar dërgimesh.

Çfarë të bëhet me sekretet e mundshme

Nëse në skedarët e hapur gjatë përdorimit të shtesës kishte çelësa API, tokenë ose kredenciale, përcaktoni nëse ato u ngjitën në redaktues apo mund të jenë përfshirë në komunikime të tjera. Revokoni dhe zëvendësoni sekretet për të cilat ka mundësi të arsyeshme ekspozimi, duke ruajtur provat e nevojshme për të kuptuar periudhën dhe projektin. Kodi pronësor në regjistrin lokal kërkon të njëjtën kujdesje gjatë ruajtjes dhe ndarjes së provave.

Çaktivizimi i shtesës në instalimet e gjetura ndalon aktivitetin e saj të mëtejshëm ndërsa shqyrtohen regjistrat; inventari dhe provat duhen ruajtur para çinstalimit. Për shtesat e tjera të zhvillimit me AI, ky rast jep një kontroll të qartë: vëzhgoni çfarë dërgojnë proceset në sfond, cilat veprime e nisin dërgimin dhe nëse pëlqimi zbatohet edhe jashtë komandave të dukshme. Për projektet ku mungojnë regjistrat e kërkesave, vendimi për sekretet duhet të mbështetet te përmbajtja që shtesa mund të ketë parë dhe te periudha e përdorimit të saj.

Lexoni gjithashtu: