Множественные уязвимости в пяти популярных инструментах для разработчиков ИИ могут позволить злоумышленникам выполнять код на хост-машине, читать и красть файлы или подменять адресные строки браузера. Исследователи заявляют, что недоработки в OpenAI Codex и Microsoft VS Code остаются неисправленными, что потенциально подвергает риску разработчиков, использующих затронутые конфигурации.
Стартап в области безопасности ИИ Forever Security обнаружил уязвимости в Cursor, GitHub Copilot, Anthropic Claude Desktop, VS Code и Codex и сообщил о четырех из них затронутым поставщикам. GitHub самостоятельно устранил уязвимость Copilot, не получая отчета от Forever Security. Все пять инструментов имеют общую слабость безопасности: встроенные браузеры получили возможности, выходящие за рамки обычных браузеров.
Каждый инструмент «обогатил свой встроенный браузер сверх того, что разрешено обычным браузером, и эти обогащения подорвали традиционную модель угроз — как ввод агента, как авторитет собственного адреса вкладки или как доступ к хосту», — написал исследователь Forever Гал Вейцман в отчете в четверг отчет.
Forever назвал этот класс уязвимостей «Embrace» (сокращение от EMbedded BRowser — встроенный браузер) и заявил, что эти недостатки привели к выполнению кода в Cursor, краже данных в Claude Desktop, Codex и VS Code, а также к подмене адресной строки в GitHub Copilot.
Вот как это выглядит для каждого из инструментов, начиная с Cursor.
Cursor: произвольное выполнение кода
Обычные веб-страницы не могут выполнять команды на хост-компьютере, поскольку JavaScript веб-страницы не может взаимодействовать с локальными приложениями.
Однако встроенный браузер Cursor позволяет странице вызывать композитор агента. Агент считывает это как инструкции и выполняет их, но инструкции остаются скрытыми от пользователей. Это открывает агент для атак с внедрением подсказок (prompt injection), которые могут позволить злоумышленнику выполнять команды на хост-машине.
Исследователи сообщили об уязвимости Cursor 10 сентября, а поставщик незаметно устранил недостаток 1 октября. По данным Forever, Cursor не опубликовал уведомление о безопасности по этому вопросу и не ответил на сообщение исследователей.
Cursor также не ответил на запрос The Register о комментарии.
GitHub Copilot: подмена адресной строки
При обычной работе браузера веб-страница не может изменять содержимое адресной строки.
«Предварительный просмотр в браузере Copilot работает иначе», — написал Вейцман. «Некоторые страницы меняют свой адрес без загрузки новой страницы, и приложение не всегда может это увидеть. Поэтому Copilot позволил странице сообщить приложению свой собственный адрес».
Приложение проверяло только то, выглядит ли текст как веб-адрес, начинающийся с http, https или file, но не проверяло, куда на самом деле указывает вкладка. Это может быть использовано для того, чтобы заставить встроенный браузер отображать поддельную URL-адрес в адресной строке, например github.com/login, загружая при этом мошеннический веб-сайт — например, фишинговую страницу — под ним.
Исследователи обнаружили уязвимость подмены адресной строки в GitHub Copilot 1.1.27 26 сентября. GitHub самостоятельно устранил недостаток в более поздней сборке Copilot (1.1.29) 13 октября, не получая отчета об уязвимости от Forever.
Мы обратились в GitHub и не получили ответа.
Claude Desktop, Codex и VS Code: произвольное чтение файлов
Все три помощника кодирования этих поставщиков позволяют локальным HTML-файлам, открытым во встроенном браузере, выходить за его пределы и получать доступ к другим файлам.
И Claude Desktop, и VS Code предоставляют локальным страницам доступ к своим соответствующим папкам проектов, но исследователи обнаружили, что эти ограничения не распространяются на веб-воркеры — функцию браузера, которая позволяет JavaScript работать в фоновом потоке, отдельно от основного потока страницы.
Это означает, что локальная страница может запустить воркер, и воркер может обойти ограничения для доступа к любому файлу на машине.
Codex, однако, не имел такого же ограничения, что означает, что локальная страница могла читать любой файл напрямую без воркера.
Вейцман сообщил, что его команда сообщила об этой проблеме Anthropic 23 июля, и поставщик ИИ отклонил отчет об ошибке Claude Desktop как недействительный из-за границы безопасности, связанной с «доверием к рабочей области». Однако днем позже Noma Security сообщила о той же проблеме, по словам Вейцмана, и Anthropic приняла отчет как действительный.
Anthropic не ответила на вопросы The Register ни по одному из отчетов об ошибках, ни по хронологии событий, предоставленной Forever.
Forever сообщил об ошибке Codex в OpenAI 27 июля и не получил ответа. Команда безопасности утверждает, что она все еще не исправлена. OpenAI не ответила на наши запросы, в том числе о том, планирует ли она исправить этот недостаток.
10 сентября Forever сообщил об уязвимости VS Code в Microsoft и утверждает, что поставщик также классифицировал ее как недействительную проблему безопасности, связанную с доверием к рабочей области. Исследователи утверждают, что она остается неисправленной. Microsoft не ответила на наш запрос о комментарии.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
