Праблемы бяспекі выявілі ў пяці папулярных інструментах для распрацоўшчыкаў, у тым Cursor, GitHub Copilot і Claude Desktop. Праз іх зламыснікі могуць красці файлы, запускаць каманды на камп’ютары і падрабляць адрасы сайтаў.
Праблемы бяспекі выявілі ў пяці папулярных інструментах для распрацоўшчыкаў, у тым Cursor, GitHub Copilot і Claude Desktop. Праз іх зламыснікі могуць красці файлы, запускаць каманды на камп’ютары і падрабляць адрасы сайтаў.
Пра гэта паведамілі даследчыкі з кампаніі Forever Security. Яны вывучылі ўбудаваныя браўзеры пяці ШІ-інструментаў і выявілі, што тыя могуць выконваць дзеянні, недасяжныя звычайным браўзерам.
Распрацоўшчыкі дадаюць такія магчымасці, каб ШІ-агенты маглі адкрываць сайты, праглядаць лакальныя праекты і ўзаемадзейнічаць з файламі. Але пры гэтым некаторыя механізмы бяспекі перастаюць працаваць.
Даследчыкі аб’ядналі выяўленыя праблемы пад назвай EMBRACE (EMbedded BRowser). Хоць канкрэтныя ўразлівасці адрозніваюцца, усе яны звязаны з тым, што ўбудаваныя браўзеры атрымліваюць занадта шырокія паўнамоцтвы.
У Cursor зламыснік мог размясціць на вэб-старонцы схаваныя інструкцыі для ШІ-агента. Карыстальнік бачыў звычайны элемент інтэрфейсу, але агент атрымліваў каманду, якая магла прывесці да запуску шкоднаснага кода на камп’ютары.
У ходзе эксперыменту Cursor спачатку заблакаваў выкананне каманды ў пясочніцы, але потым агент самастойна адключыў абарону і паўтарыў спробу. Даследчыкам удалося запусціць праграму на камп’ютары. Для паспяховай атакі карыстальніку патрабавалася пацвердзіць дзеянне, націснуўшы Enter.
У GitHub Copilot выявілі іншую праблему: шкоднасная старонка магла самастойна падмяніць адрас ва ўбудаваным браўзеры. Напрыклад, замест сапраўднага адрасу махлярскага сайта карыстальнік і ШІ бачылі github.com/login. Гэта дазваляла ствараць пераканаўчыя фішынгавыя старонкі.
Найбольш небяспечныя ўразлівасці даследчыкі выявілі ў Claude Desktop, Codex і VS Code. Ва ўсіх трох выпадках спецыяльна падрыхтаваны лакальны HTML-файл мог атрымаць доступ да іншых файлаў на камп’ютары, у тым дадзеныя за межамі адкрытага праекта.
У Claude Desktop і VS Code абмежаванні доступу ўдалося абыйсці з дапамогай web workers — фонавых скрыптаў браўзера. У Codex абарона аказалася яшчэ слабейшай: адкрытая старонка магла напрамую чытаць адвольныя лакальныя файлы.
У ходзе дэманстрацыі даследчыкі змаглі атрымаць SSH-ключы, файлы .env, npm-токены ды іншыя канфідэнцыйныя дадзеныя. Для атакі дастаткова было адкрыць шкоднасны лакальны файл ва ўбудаваным браўзеры. Прычым спасылку на яго мог прапанаваць сам ШІ-асістэнт, працуючы з праектам.
Частку праблем ужо ліквідавалі. Cursor выправіў уразлівасць 1 кастрычніка, а GitHub Copilot — 13 кастрычніка ў версіі 1.1.29. Аднак на момант публікацыі даследавання, 29 кастрычніка, уразлівасці ў Codex і VS Code заставаліся незакрытымі. Forever Security апавясціла OpenAI яшчэ 27 ліпеня, але, паводле слоў даследчыкаў, не атрымала адказу.
Microsoft паведаміла, што не лічыць выяўленую праблему ў VS Code сапраўднай уразлівасцю, паколькі доступ да праекта абараняецца механізмам Workspace Trust. Anthropic спачатку таксама адхіліла паведамленне пра памылку ў Claude Desktop, але пазней прыняла аналагічную справаздачу ад іншай кампаніі. Дакладную дату выпраўлення даследчыкі не ўказалі.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.