ה‑AI שלכם אולי זכר יותר מדי — וגם השאיר את זה פתוח למשתמשים אחרים במחשב. AWS פרסמה חולשה ב‑Kiro CLI, לשעבר Amazon Q Developer CLI, שבה קובצי תמלול והיסטוריית Prompts נוצרו עם הרשאות שאפשרו למשתמשים מקומיים אחרים לקרוא אותם.
מה בדיוק דלף?
לפי עלון האבטחה הרשמי של AWS, החולשה CVE‑2026‑124848 משפיעה על Kiro CLI ב‑macOS וב‑Linux, בגרסאות 1.16.0 ועד לפני 2.27.0. כלי ה‑CLI שמר תמלילי session והיסטוריית prompts בקבצים שהיו ניתנים לקריאה על ידי משתמשים אחרים באותו host.
התוכן עלול לכלול את השאלות שנשלחו למודל, את תשובותיו, output של כלים, קטעי קוד ולעיתים גם סודות שהודבקו בטעות — לדוגמה token, מפתח API, כתובת פנימית או פלט של פקודה. לא מדובר בפריצה מרחוק דרך האינטרנט: התוקף צריך חשבון מקומי או גישה אחרת למחשב. עם זאת, במחשב משותף, שרת פיתוח, jump host או סביבת build מרובת משתמשים, זהו גבול אבטחה משמעותי.
למה זה מסוכן יותר מהיסטוריית shell רגילה?
שיחה עם עוזר קוד מרכזת לעיתים הרבה יותר הקשר מפקודה בודדת. מפתחים מדביקים stack traces, קובצי config, קוד קנייני ולעיתים גם ערכים רגישים כדי לקבל תשובה מהירה. אם ההיסטוריה המקומית פתוחה לקריאה, משתמש אחר באותו מחשב יכול לקבל תמונה עשירה של הפרויקט, התשתית וההרשאות.
החולשה לא אומרת ש‑AWS או המודל הדליפו את התוכן לענן באופן ציבורי. הבעיה היא בהרשאות ברירת המחדל של הקבצים המקומיים. זו הבחנה חשובה: הסיכון ממוקד ב‑host, ולכן גם הטיפול מתחיל בעדכון ובהקשחת הרשאות הקבצים.
מי מושפע?
- משתמשי Kiro CLI ב‑macOS או Linux בגרסאות 1.16.0 עד 2.26.x.
- משתמשים לשעבר ב‑Amazon Q Developer CLI בגרסאות 1.16.0 עד 1.19.x, שעשויים להחזיק גם קובץ היסטוריה ישן תחת
~/.aws/amazonq/. - מחשבים עם כמה חשבונות מקומיים, שרתי פיתוח משותפים וסביבות CI שאינן מבודדות היטב.
משתמשי Windows אינם נכללים בעלון הזה. AWS לא דיווחה בעלון על ניצול פעיל, ולכן אין בסיס לקבוע שמישהו כבר קרא את ההיסטוריה שלכם. אבל אם עבדתם על host משותף, כדאי להתייחס לקבצים כמידע רגיש ולבדוק מי היה יכול לגשת אליהם.
איך מתקנים עכשיו
- עדכנו ל‑Kiro CLI 2.27.0 או גרסה חדשה יותר.
- הפעילו את הגרסה המעודכנת לפחות פעם אחת; לפי AWS, כך מוגבלות גם הרשאות קובצי session קיימים לבעלים בלבד.
- אם אי אפשר לעדכן מיד, הריצו ב‑macOS או Linux:
chmod -R go-rwx ~/.kiro. - לפני הפעלות חדשות אפשר להגדיר
umask 077, כדי שקבצים חדשים ייווצרו עם הרשאות owner-only. - מי שהשתמש ב‑Amazon Q Developer CLI 1.16.0–1.19.x צריך למחוק או להגביל את
~/.aws/amazonq/.cli_bash_history, למשל עםchmod go-rwx ~/.aws/amazonq/.cli_bash_history.
מה עוד כדאי לבדוק
חפשו אם הוזנו בהיסטוריה tokens, סיסמאות, מפתחות SSH, credentials של ענן או קוד רגיש. שינוי הרשאות עוצר קריאה עתידית, אבל אינו מבטל חשיפה שכבר התרחשה. אם סוד אכן הופיע וה‑host היה משותף, בצעו rotation, בדקו logs והחליפו הרשאות מיותרות.
בצוותים, הוסיפו את גרסת Kiro לרשימת ה‑software inventory, אסרו הדבקת secrets לתוך prompts, והפרידו בין חשבונות ושירותים על שרתי build. עוזר AI הוא כלי פיתוח, אבל ההיסטוריה שלו צריכה לקבל יחס של log רגיש.
השורה התחתונה
אין כאן הוכחה ש״מישהו קרא לכם את ה‑Prompts״, אבל יש סיבה טובה לא להשאיר אותם נגישים למשתמשים אחרים. עדכון ל‑2.27.0, הפעלה אחת של הגרסה החדשה ובדיקת secrets היסטוריים הם הצעדים הנכונים.
מקורות: AWS Security Bulletin 2026‑178‑AWS; תיעוד Kiro CLI.
תמונת המחשה: Jiří Navrátil, Unsplash. דף המקור. שימוש לפי Unsplash License.
