Was ich gelernt habe, indem ich GitHub Copilot hinter einen MITM-Proxy stellte

Der Autor, ein Entwickler, war neugierig auf die inneren Abläufe von KI-gestützten Anwendungen und entschied sich, GitHub Copilot zu untersuchen, da er seine monatlichen Credits schnell aufbrauchte. Da viele solcher Apps auf Electron basieren, nutzte er mitmproxy, ein beliebtes Open-Source-Tool für Man-in-the-Middle-Angriffe, um den HTTP/HTTPS-Verkehr von VS Code abzufangen. Nachdem er VS Code so konfiguriert hatte, dass der Datenverkehr über den Proxy läuft, beobachtete er, dass Copilot bereits vor der Eingabe mehrere Kategorien von Anfragen sendet: Authentifizierung und Sitzung, Konfiguration und Richtlinien, MCP-Registry, Repository und Sitzung, Modell-Erkennung und Zuletzt verwendete Repositories. Bevor er Antworten auf Eingabeaufforderungen generiert, prüft Copilot die verfügbaren Modelle über Endpunkte wie /models und /agents/swe/models. Im Auto-Modus klassifiziert eine Anfrage an /models/session/intent die Absicht der Benutzereingabe (Code-Generierung, Debugging, logisches Denken, Werkzeugnutzung), um das passende Modell auszuwählen. Der Autor testete, ob Geheimnisse aus einer .env-Datei durchsickern könnten: Er fügte der .env-Datei ein gefälschtes Geheimnis hinzu und tippte dann in eine nicht damit zusammenhängende pyproject.toml-Datei. Die abgefangene Inline-Vorschlagsanfrage enthielt das Geheimnis in der Eingabeaufforderung, da kürzlich bearbeitete Dateien als Kontext einbezogen werden. Dies zeigt, dass das Deaktivieren von Copilot für geheime Dateien ein Durchsickern nicht verhindert, wenn die Änderungen erst kürzlich vorgenommen wurden.