Исследователи нашли уязвимости во встроенных браузерах пяти ИИ-инструментов
Изображение: OpenAI
Исследователи Forever Security нашли уязвимости во встроенных браузерах пяти ИИ-инструментов для разработки. Их создатели ослабили ограничения браузеров, чтобы ассистенты могли показывать локальные проекты и читать содержимое вкладок.
В Codex и VS Code одного клика по вредоносному HTML-файлу хватало для чтения всего диска. На 29 октября исправлений не было. Для атаки разработчик должен был попросить ассистента настроить подготовленный злоумышленником проект, а затем открыть предложенную ссылку на локальный HTML-файл.
В Claude Desktop и VS Code сама страница могла читать файлы лишь в папке проекта, но это ограничение не распространялось на запущенные ею фоновые скрипты Web Worker. В Codex такой проверки вообще не было. Во время испытания исследователям удалось прочитать файлы на собственном компьютере и передать их наружу.
В Cursor для атаки хватало веб-страницы со скрытой командой и одного нажатия Enter, которым разработчик подтверждал запуск. Во время проверки агент сам отключил песочницу, заблокировавшую команду, и запустил калькулятор. Атака зависит от модели и срабатывает не всегда. Cursor исправила уязвимость 1 октября.
В GitHub Copilot страница могла подставить github.com/login в адресную строку над поддельной формой входа. GitHub устранила ошибку в Copilot 1.1.29 13 октября.
В беседе с Help Net Security исследователь Forever Security рекомендовал командам, которые используют Codex и VS Code, выгрузить списки доверенных проектов из конфигурационных файлов на каждой машине. Все HTML-файлы в этих проектах он советует проверить на признаки атаки, описанные в технической публикации исследователей.
