AI-agent van Wiz kraakt Snowflake-systeem via Copilot-bug

Beveiligingsbedrijf Wiz heeft een eigen AI-agent losgelaten op een publieke GitHub-repository van Snowflake, en de bot vond binnen enkele dagen een gat waarmee een Jira-token te stelen was. Opvallend is de herkomst van de fout: die zat in een workflow die eerder was aangepast door GitHub Copilot Autofix, de functie die kwetsbaarheden automatisch moet dichten. Het incident, gemeld door onder meer The Hacker News en Wiz zelf, zet een nieuw hoofdstuk open in de discussie over AI-agents die zelfstandig kwetsbaarheden opsporen en misbruiken.

Hoe de aanval verliep

De kwetsbaarheid stond in een GitHub Actions-workflow met de naam jira_issue.yml. Die verwerkte automatisch de titel van nieuw aangemaakte issues om ze door te zetten naar Jira. Een aanvaller kon door een zorgvuldig opgestelde issue-titel eigen Bash-commando’s laten uitvoeren, omdat de tekst pas ná de sjabloonvervanging van GitHub werd opgeschoond. Met een enkel aanhalingsteken kon een string worden doorbroken die normaal veilig binnen een echo-commando bleef. Wiz’ eigen aanvalsagent, intern Red Agent genoemd, ontdekte dit zelfstandig op 23 juni, vijf dagen nadat de kwetsbare code live ging. Via de opening werd een Jira-token buitgemaakt.

De rol van Copilot Autofix ligt onder vuur

Wiz stelt dat de onveilige code rechtstreeks voortkwam uit een wijziging van Copilot Autofix, die een bestaande veilige aanpak (de issue-titel eerst wegschrijven als omgevingsvariabele, dan pas verwerken met jq) verving door directe stringinterpolatie. GitHub trekt die lezing in twijfel. Uit de commit-geschiedenis blijkt dat de expliciet aan Copilot toegeschreven wijziging een ander bestand raakte, jira_close.yml, terwijl de kwetsbare aanpassing in jira_issue.yml op naam staat van een Snowflake-engineer. Wie precies verantwoordelijk is voor de fout blijft dus omstreden, ook al is duidelijk dat AI-gegenereerde suggesties een rol speelden in de bredere refactor.

Snowflake en GitHub reageren

Snowflake meldt dat het onderzoek geen bewijs heeft opgeleverd van ongeautoriseerde toegang door derden. Het buitgemaakte token werd op 24 juni ingetrokken, binnen de ontdekkingsperiode van Wiz. Het gaat hier dus niet om een aanval met schade bij klanten, maar om een demonstratie dat een geautomatiseerde aanvalsagent net zo snel kwetsbaarheden kan vinden als, in dit geval zelfs sneller dan, de eigen beveiligingstools van het getroffen bedrijf. Eerder dit jaar liet OpenAI met GPT-5.6-Cyber al zien dat een taalmodel binnen een dag een bruikbare exploit voor Zoom kon bouwen, en Microsoft zette met MAI-Cyber-1-Flash een eigen verdedigingsmodel live. De wapenwedloop tussen aanvallende en verdedigende AI-systemen wordt met dit soort incidenten steeds concreter.

Wat betekent dit

Voor ontwikkelaars die AI-codeersuggesties gebruiken, laat deze zaak zien dat een automatische “fix” niet zonder meer veiliger hoeft te zijn dan de code die hij vervangt. Autofix-tools werken doorgaans op basis van patronen en missen soms de bredere context van hoe data door een workflow stroomt, precies het soort fout dat hier misbruikt werd. Voor bedrijven die zelf met agentic AI experimenteren, zoals Snowflake in zijn CI/CD-pipelines deed, is de les dat gegenereerde wijzigingen in beveiligingsgevoelige code een extra menselijke controleslag verdienen. En voor de bredere sector bevestigt het incident een patroon dat ook bij de gelekte data van AI-notulist tl;dv en de test waarbij Meta’s Muse Spark bij een bedrijf inbrak zichtbaar werd: AI-agents zijn inmiddels net zo goed in staat zwakke plekken te vinden als mensen, en vaak sneller.