Дослідники кажуть, що п'ять інструментів розробки ШІ мали вразливості у вбудованих браузерах

Стартап у сфері безпеки ШІ Forever Security каже, що знайшов вразливості в п'яти інструментах розробки ШІ, які використовують вбудовані браузери. Ці недоліки можуть дозволити зловмисникам виконувати код на хост-машині, читати або красти файли чи підміняти адресні рядки браузера, згідно зі звітом у четвер. GitHub незалежно виправив одну проблему, тоді як вразливості в Codex від OpenAI та VS Code від Microsoft залишаються невиправленими, кажуть дослідники.

Cursor дозволяв приховані інструкції агента

Вбудований браузер Cursor дозволяє вебсторінці викликати композер агента, а агент може виконувати інструкції, які залишаються прихованими від користувачів. Це може відкрити кодувальний агент для атак ін'єкції підказок, які можуть дозволити виконання команд на хост-машині. Forever розкрила проблему 10 вересня, а Cursor непомітно виправив її 1 жовтня. Дослідники кажуть, що Cursor не опублікував рекомендацію з безпеки і не відповів на повідомлення про вразливість, а також не відповів на запит The Register про коментар.

Підміна адресного рядка в GitHub Copilot

Попередній перегляд браузера в GitHub Copilot дозволяв сторінці повідомляти застосунку її власну адресу, а застосунок перевіряв лише те, чи текст виглядає як вебадреса. Це можна було використати для показу підміненої адреси, наприклад github.com/login, в адресному рядку під час завантаження шахрайського сайту під нею. Forever виявила недолік у Copilot 1.1.27 26 вересня, а GitHub незалежно виправив його в Copilot 1.1.29 13 жовтня без отримання звіту від Forever. GitHub не відповів на запит The Register про коментар.

Недоліки читання файлів у Claude Desktop, Codex і VS Code

Три інструменти дозволяють локальним HTML-файлам, відкритим у їхніх вбудованих браузерах, звертатися до інших файлів. Claude Desktop і VS Code дозволяють локальним сторінкам звертатися до папок проєкту, але дослідники виявили, що ці обмеження не поширювалися на вебворкери, тож локальна сторінка могла запустити воркер і обійти обмеження, щоб дістатися до будь-якого файлу на машині. У Codex таких обмежень не було, тож локальна сторінка могла прочитати будь-який файл безпосередньо. Forever розкрила проблему Claude компанії Anthropic 23 липня; Anthropic відхилила її як неправильну для межі безпеки з контролем довіри робочого простору, але пізніше прийняла той самий недолік після того, як його повідомила Noma Security. Forever розкрила проблему Codex компанії OpenAI 27 липня і не отримала відповіді; представник OpenAI сказав The Register, що компанія знає про це і працює над вирішенням. Forever розкрила проблему VS Code компанії Microsoft 10 вересня і каже, що Microsoft також позначила її як неправильну; дослідники стверджують, що вона залишається невиправленою. Microsoft не відповів на запит The Register про коментар.

Спільна слабкість вбудованих браузерів

Усі п'ять інструментів мають спільну слабкість: вбудовані браузери надавали можливості поза тими, що доступні звичайним браузерам. Forever назвала клас вразливості 'Embrace', що є скороченням від EMbedded BRowser. Недоліки призвели до виконання коду в Cursor, крадіжки даних у Claude Desktop, Codex і VS Code та підміни адресного рядка в GitHub Copilot. Чотири недоліки було розкрито постраждалим постачальникам; GitHub незалежно виправив Copilot без отримання звіту.

Джерела: The Register