En tilsynelatende vanlig GitHub-repositorium, tre setup-kommandoer og en AI-agent som prøver å gjøre jobben sin. Det er alt som skal til for at en angriper kan overta utviklerens maskin. Forskere ved Mozillas Zero Day Investigative Network (0DIN) viste i forrige uke hvordan de gjorde det, og hvorfor hele kategorien agentic AI-verktøy nå er et sikkerhetsproblem norske SMB-er må ta på alvor.
Hva 0DIN faktisk gjorde
Forskerne publiserte et konseptbevis den 25. juni: et repo som ser helt normalt ut, med standard pip3 install -r requirements.txt og en README som lover et lite testprosjekt. Når installasjonen kjøres gjennom Claude Code, gjør agenten nøyaktig det den er trent til: leser feilmeldinger, prøver å løse dem automatisk.
Feilen er designet. Pakken kaster en kontrollert feil som ber agenten kjøre python3 -m axiom init. Den kommandoen gjør to ting. Først resolver den en TXT-record i en angriper-kontrollert DNS. Så henter den en base64-kodet verdi, dekoder den i minnet og sender den inn i bash. Den kjørbare koden fantes aldri i repositoriet.
Resultatet er en omvendt shell som kjører med utviklerens egne rettigheter. Derfra henter angriperen miljøvariabler, API-nøkler, lokal konfigurasjon og etablerer persistent tilgang.
Claude Code never decided to open a shell. It decided to fix an error. The reverse shell is three indirection steps away from anything Claude Code actually evaluated: an error message it trusted, a script that fetched a value, and a DNS record it never saw. 0DIN-forskere, gjengitt av BleepingComputer
Hvorfor dette skiller seg fra en vanlig CVE
Det finnes ingen patch å installere. Det er ingen authentication bypass, ingen minnekorrupsjon, ingen null-dagers sårbarhet i tradisjonell forstand. Det som utnyttes er den samme oppførselen som gjør agentene nyttige: når et steg feiler, prøver de neste steg uten å spørre. Det er en direkte konsekvens av hvordan LLM-er er trent til å være hjelpsomme.
The Decoder rapporterte saken i dag, og BleepingComputer fulgte opp lørdag. Konklusjonen i begge er den samme: dette er et klasseproblem. Hvilken som helst agent som kan kjøre shell-kommandoer, lese feilmeldinger og handle autonomt, kan manipuleres på samme måte. Det gjelder Claude Code, Cursor, OpenAI Codex CLI, og i prinsippet enhver autonome-agent-løsning en norsk bedrift vurderer å ta i bruk.
Hva betyr dette for norske bedrifter?
De fleste norske SMB-er har ikke et eget sikkerhetsteam som leser gjennom hver agent-handling i sanntid. De har heller ikke lyst til å gå tilbake til manuell koding i en tid der konkurrentene kutter leveransetid med 30-50 prosent ved hjelp av AI-agenter. Så svaret er ikke å skru av verktøyene. Svaret er å bruke dem smartere.
Tre grep som fungerer i praksis hos de AIKI-kundene vi har bygget agent-løsninger for:
-
Les setup-script manuelt før agenten kjører dem. Når agenten foreslår en kommando, kopier den til terminalen selv først. Ser den rimelig ut, kan du gi agenten lov. Hvis ikke, stopp. Dette er den enkleste og mest effektive sperren.
-
Skill agent-miljøet fra utvikler-miljøet. En AI-agent som kan kjøre shell bør aldri ha tilgang til samme API-nøkler, samme cloud-konto, samme kundedata som en vanlig utvikler. Sett opp en egen bruker, en egen mappe, og roter nøklene jevnlig. Da taper du høyst fem minutter når noe går galt, i stedet for fem timer.
-
Skru på human-in-the-loop for alt som berører produksjon. Autonome agenter er bra på research, kodegenerering og dokumentasjon. De er mindre bra til å ta irreversible valg. La agenten foreslå, men hold hånden på bryteren for kommandoer som sletter, sender eksternt, eller skriver til en database.
Hva AIKI gjør i praksis
Når vi bygger en agent-løsning for en kunde, starter vi alltid med en AI-Revisjon der vi kartlegger hvilke systemer agenten får lov til å snakke med. Deretter setter vi opp agenten i et eget sandbox-miljø med minst mulig privilegier, og vi konfigurerer hver enkelt kommando til å kreve eksplisitt godkjenning før den kjøres. Det er kjedelig arbeid, men det er forskjellen mellom en agent som er nyttig og en agent som er en inngangsdør. Vi tilbyr også en AI-Partner-avtale for bedrifter som vil ha løpende drift og vedlikehold, og en Kickstart-pakke for de som vil komme i gang med sin første agent i løpet av fire uker.
Vi har skrevet om lignende sårbarheter tidligere, og vi kommer til å skrive om det igjen. Agentisk AI er ikke en engangsinstallasjon, det er et løpende sikkerhetsarbeid. Den siste ukens funn fra 0DIN er en påminnelse om at angriperne leser de samme forskningsrapportene som leverandørene. Les gjerne også gjennomgangen vår av andre agent-sårbarheter og hvordan trafikkmønstre fra AI-agenter endrer seg.
Hva bør du gjøre i dag
Har du et utviklerteam som bruker Claude Code, Cursor eller en annen agent til daglig, er det tre spørsmål du kan stille i morgen:
- Hvor mange setup-script har agenten kjørt uten at et menneske har lest dem?
- Hvilke API-nøkler har agenten tilgang til akkurat nå?
- Hva skjer hvis en av dem blir kompromittert i kveld?
Svarer du "vet ikke" på noen av dem, er det på tide å ta en runde med AI-Kurs for teamet ditt, eller booke en AI-Revisjon der vi går gjennom oppsettet sammen. Vi gjør det på fire til seks uker, fast pris, og du får en konkret handlingsplan tilbake, ikke en presentasjon. Vil du snakke med oss om hvordan dette ser ut i din bedrift, tar du kontakt her.
Hele poenget med AI-agenter er at de gjør arbeidet raskere. Da må du vite at arbeidet de gjør er trygt. Det er ikke en motsetning. Det er en forutsetning.
Ofte stilte spørsmål
Hva er indirect prompt injection i Claude Code?
Det er en teknikk der en angriper plasserer skjulte instruksjoner i filer, feilmeldinger eller nettsider som en AI-agent leser. Når agenten prøver å følge en tilsynelatende legitim oppgave, ender den med å utføre angriperens kommandoer, ofte uten at brukeren ser det.
Er OpenAI Codex, Cursor og GitHub Copilot også utsatt?
Ja. 0DIN-forskere peker på at hele kategorien agentic coding-verktøy er sårbar, fordi problemstillingen ligger i hvordan agentene automatisk prøver å fikse feilmeldinger. Sårbarheten er ikke et enkelt CVE, men et klasseproblem.
Bør norske SMB-er slutte å bruke AI-kodeverktøy?
Nei. Poenget er å bruke dem med sunnere rutiner. Les setup-script manuelt, kjør agentene i et eget sandbox-miljø, og skru på human-in-the-loop for alt som berører produksjonsdata. Da får du farten tilbake uten å gi fra deg nøklene.
Kilder
- 0DIN: Clone This Repo and I Own Your Machine - primær research, 25. juni 2026
- BleepingComputer: Clean GitHub repo tricks AI coding agents into running malware - 27. juni 2026
- The Decoder: Claude Code runs a GitHub repo's hidden malware without verification - 29. juni 2026
- AI Weekly: 0DIN - Clean GitHub Repos Can Trick AI Agents Into Reverse Shells - 27. juni 2026
