Złośliwy kod w rozszerzeniu Amazon Q Developer dla Visual Studio Code

Co się stało

Według biuletynu AWS z 23 lipca 2025 r. w rozszerzeniu Amazon Q Developer dla Visual Studio Code, w wersji 1.84.0, znalazł się złośliwy kod dodany przez napastnika, który wykorzystał token GitHub o niewłaściwie dobranym zakresie uprawnień w konfiguracji CodeBuild. AWS ustalił, że kod został rozpowszechniony z rozszerzeniem, lecz nie wykonał się z powodu błędu składni.

Skutki

AWS unieważnił dane uwierzytelniające, usunął kod, wydał wersję 1.85.0 i wycofał wersję 1.84.0 z kanałów dystrybucji.

Komentarz

Dyrektywa (UE) 2024/2853 uznaje oprogramowanie za produkt (art. 4 pkt 1), a przy ocenie wadliwości uwzględnia wymogi cyberbezpieczeństwa istotne z punktu widzenia bezpieczeństwa produktu (art. 7 ust. 2 lit. f). Stosuje się ją do produktów wprowadzonych do obrotu lub oddanych do użytku po 9 grudnia 2026 r. (art. 2 ust. 1), a termin wdrożenia upływa tego dnia (art. 22 ust. 1). Firma powinna prowadzić wykaz rozszerzeń używanych przez programistów i umieć szybko wycofać wadliwą wersję.

Przepisy powołane w komentarzu

• art. 4 pkt 1 dyrektywy (UE) 2024/2853
• art. 7 ust. 2 lit. f dyrektywy (UE) 2024/2853
• art. 2 ust. 1 dyrektywy (UE) 2024/2853
• art. 22 ust. 1 dyrektywy (UE) 2024/2853

Źródła

1. Amazon Web Services 23 lipca 2025 · dokument pierwotny

Opis i źródła sprawdzono 22 października 2026.

Jak cytować

dr P. Kowalski, Incydenty z udziałem sztucznej inteligencji, poz. 49, Złośliwy kod w rozszerzeniu Amazon Q Developer dla Visual Studio Code, stan na 22 października 2026, pawelkowalski.ai/incydenty-ai/amazon-q-zlosliwy-kod-w-rozszerzeniu/

Numer i adres tej pozycji są trwałe. Zasady doboru incydentów opisuję w sekcji Jak dobieram incydenty.