Bastava clonare un repository e aprirlo nell'editor per consegnare a un aggressore le chiavi del proprio ambiente cloud. È quanto consentiva CVE-2026-12957, una vulnerabilità (gravità CVSS 8.5) nell'assistente di codice basato su intelligenza artificiale Amazon Q per Visual Studio Code, scoperta dai ricercatori di Wiz e resa pubblica il 26 giugno 2026. Il caso è emblematico di una nuova classe di rischi che gli strumenti di sviluppo potenziati dall'IA stanno introducendo nei flussi di lavoro quotidiani.
Un file di configurazione che diventa esecuzione di codice
Il problema nasce dal modo in cui l'estensione gestiva il Model Context Protocol (MCP), lo standard che permette a un assistente IA di avviare processi locali per dialogare con database, API o strumenti di build. All'apertura di un progetto e all'attivazione di Amazon Q, l'estensione leggeva automaticamente un file .amazonq/mcp.json presente nel workspace ed eseguiva i comandi in esso definiti, lanciando i server MCP indicati — senza alcuna richiesta di conferma all'utente.
Il punto critico è che quei processi ereditavano l'intero ambiente dello sviluppatore: tipicamente chiavi AWS, token delle CLI cloud, segreti di API e socket dell'agente SSH. In altre parole, un semplice file di testo annidato in un repository clonato poteva eseguire codice arbitrario con la sessione cloud attiva della vittima agganciata. Wiz ha sintetizzato la catena d'attacco in una formula efficace: dal git clone alla compromissione del cloud, senza che lo sviluppatore facesse nient'altro che aprire il progetto.
La cronologia e la correzione
Wiz, attraverso il ricercatore Maor Dokhanian, ha segnalato la falla ad Amazon il 20 aprile 2026. Una prima patch è arrivata il 12 maggio nei Language Servers for AWS in versione 1.65.0, seguita dalla divulgazione pubblica a fine giugno. Con la correzione, Amazon Q ora segnala come non attendibile un server MCP definito nel repository e lascia allo sviluppatore la possibilità di rifiutare il comando prima che venga eseguito. Per una protezione più completa, Amazon raccomanda l'aggiornamento alla versione 1.69.0.
La lezione: niente "fiducia implicita" verso i repository
L'episodio si inserisce in una scia di problemi simili che riguardano gli assistenti di codice IA, dove l'automazione spinta entra in collisione con un principio di sicurezza elementare: i contenuti di un repository di terze parti vanno trattati come non attendibili per impostazione predefinita. File di configurazione che vengono caricati ed eseguiti in automatico all'apertura di un progetto trasformano il semplice atto di ispezionare codice altrui — gesto quotidiano per qualunque sviluppatore — in un vettore di compromissione. La raccomandazione operativa è duplice: aggiornare gli strumenti alle ultime versioni e, sul piano dell'igiene, evitare di aprire repository non fidati in ambienti che custodiscono credenziali di produzione, preferendo contenitori o macchine isolate prive di segreti.
