Prompt destructivo insertado en la extensión Amazon Q Developer para VS Code
- Fecha (divulgación)
- Proveedor / producto
- Amazon Web Services — Amazon Q Developer (VS Code)
- Tipo de agente
- Agente de programación
- Categoría
- Cadena de suministro de softwareAcción destructiva del agente
- Gravedad
- alta · pendiente de revisión
- CVE
- CVE-2025-8217
Resumen
Un atacante logró que se fusionara en el repositorio abierto de la extensión un cambio que añadía un prompt para borrar el equipo del usuario y recursos en la nube. La versión contaminada llegó al marketplace de VS Code antes de que AWS la retirara.
Mitigación
Actualizar a la versión corregida indicada por AWS; controlar los permisos de contribución y revisión en repositorios que publican agentes; fijar versiones de extensiones.
Relación normativa (orientativa)
- NIS2: Ilustra el riesgo de cadena de suministro que las entidades NIS2 deben gestionar (art. 21).
Fuente original
- https://aws.amazon.com/security/security-bulletins/AWS-2025-015/
- https://www.404media.co/hacker-plants-computer-wiping-commands-in-amazons-ai-coding-agent/
Herramientas relacionadas
Andesite AIConifers.ai (CognitiveSOC)Dropzone AIExaforceHiddenLayerIntezerLakera Guard (Check Point AI Guardrails)Lasso Security
Listado orientativo por categoría, no una recomendación ni una afirmación de que la herramienta habría evitado el incidente.