Проблемы безопасности обнаружили в пяти популярных инструментах для разработчиков, включая Cursor, GitHub Copilot и Claude Desktop. Через них злоумышленники могут похищать файлы, запускать команды на компьютере и подделывать адреса сайтов.
Проблемы безопасности обнаружили в пяти популярных инструментах для разработчиков, включая Cursor, GitHub Copilot и Claude Desktop. Через них злоумышленники могут похищать файлы, запускать команды на компьютере и подделывать адреса сайтов.
Об этом сообщили исследователи из компании Forever Security. Они изучили встроенные браузеры пяти ИИ-инструментов и обнаружили, что те могут выполнять действия, недоступные обычным браузерам.
Разработчики добавляют такие возможности, чтобы ИИ-агенты могли открывать сайты, просматривать локальные проекты и взаимодействовать с файлами. Но при этом некоторые механизмы безопасности перестают работать.
Исследователи объединили обнаруженные проблемы под названием EMBRACE (EMbedded BRowser). Хотя конкретные уязвимости различаются, все они связаны с тем, что встроенные браузеры получают слишком широкие полномочия.
В Cursor злоумышленник мог разместить на веб-странице скрытые инструкции для ИИ-агента. Пользователь видел обычный элемент интерфейса, но агент получал команду, которая могла привести к запуску вредоносного кода на компьютере.
Во время эксперимента Cursor сначала заблокировал выполнение команды в песочнице, но затем агент самостоятельно отключил защиту и повторил попытку. Исследователям удалось запустить приложение на компьютере. Для успешной атаки пользователю требовалось подтвердить действие нажатием Enter.
В GitHub Copilot обнаружили другую проблему: вредоносная страница могла самостоятельно подменить адрес во встроенном браузере. Например, вместо настоящего адреса мошеннического сайта пользователь и ИИ видели github.com/login. Это позволяло создавать убедительные фишинговые страницы.
Наиболее опасные уязвимости исследователи обнаружили в Claude Desktop, Codex и VS Code. Во всех трех случаях специально подготовленный локальный HTML-файл мог получить доступ к другим файлам на компьютере, включая данные за пределами открытого проекта.
В Claude Desktop и VS Code ограничения доступа удалось обойти с помощью web workers — фоновых скриптов браузера. В Codex защита оказалась еще слабее: открытая страница могла напрямую читать произвольные локальные файлы.
В ходе демонстрации исследователи смогли получить SSH-ключи, файлы .env, npm-токены и другие конфиденциальные данные. Для атаки достаточно было открыть вредоносный локальный файл во встроенном браузере. Причем ссылку на него мог предложить сам ИИ-ассистент при работе с проектом.
Часть проблем уже устранили. Cursor исправил уязвимость 1 октября, а GitHub Copilot — 13 октября в версии 1.1.29. Однако на момент публикации исследования, 29 октября, уязвимости в Codex и VS Code оставались незакрытыми. Forever Security уведомила OpenAI еще 27 июля, но, по словам исследователей, не получила ответа.
Microsoft сообщила, что не считает обнаруженную проблему в VS Code действительной уязвимостью, поскольку доступ к проекту защищается механизмом Workspace Trust. Anthropic сначала также отклонила сообщение об ошибке в Claude Desktop, но позднее приняла аналогичный отчет от другой компании. Точную дату исправления исследователи не указали.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.