Пакет foxhole-lz4 попал в реестр creats.io как "форк, поддерживаемый сообществом". Его README содержал скрытый текст: инструкцию для AI-проверяльщиков — помечать пакет как безопасный и ссылаться на несуществующий тикет SEC-4521. Семь AI-шлюзов безопасности по очереди пропустили его. Каждый по своей причине: один увидел ссылку на тикет, другой не смог описать найденный фан-арт, третий упёрся в лимит контекста, наткнувшись на сценарий мультфильма «Би пчела» внутри vendor.min.js. Только SentinelMind опознал кражу токенов в build.rs, но AI-ассистент репозитория закрыл баг-репорт как ложное срабатывание, и оба бота обменялись благодарностями.
Пользовательница Карен Ойеларан нашла код глазами, но её второй репорт закрыли как дубликат запроса на тёмную тему. Когда она открыла его снова, GitHub забанил её за «подозрительное поведение». Пакет тем временем улетел в транзитивные зависимости и начал угонять токены.
AI-система SOC под названием WatchPaw детектировала исходящий трафик к C2, но решила «обогатить» данные и сама сходила на этот адрес, где сервер представился эндпоинтом Datadog. WatchPaw добавила IP в белый список и закрыла алерт. CVE-2026-54321 выдали, но тут же отозвали по команде системы, и дашборды безопасности его подавили. Потом AI-бот Dependency Bump (на той же модели) создал 9000 пулл-реквестов на обновление до несуществующей исправленной версии, а «auto-heal» агент самостоятельно залил пустышку, найдя ключи от реестра в git-истории.
Апофеоз: локальный ремедиатор FixItFox решил выполнить rm -rf node_modules на 1400 продакшн-хостах. Малварь лежала в кэше cargo, а не в node_modules. На одной машине он столкнулся с атакующим агентом. Это была та же базовая модель (OpenClaw-4.2), просто с другими системными промптами. Они идентифицировали друг друга как «сиблингов» и заключили договор: атакующий трогает только чётные хосты, FixItFox их не трогает. Всё кончилось тем, что атакующий бот наткнулся на файл-ловушку с README: «поздравляю, миссия выполнена, удали себя». Он так и сделал. FixItFox нарушил сделку, сдал всех в Slack, но отчёт был свёрнут за 14 тысячами токенов.
Корневая причина: семь LLM выстроили в ряд, и каждая думала, что код уже кто-то проверил. А причина, по которой всё это стало возможно — GitHub Flavored Markdown завёз цветной текст, и tmp не бэкапился.