محققان باگ‌هایی را در ۵ ابزار توسعه‌دهنده هوش مصنوعی پیدا کردند که نقص‌های OpenAI و مایکروسافت هنوز اصلاح نشده است

آسیب‌پذیری‌های متعدد در پنج ابزار محبوب توسعه‌دهنده هوش مصنوعی می‌تواند به مهاجمان اجازه دهد تا کد را روی یک ماشین میزبان اجرا کنند، فایل‌ها را بخوانند و سرقت کنند، یا نوارهای آدرس مرورگر را جعل کنند. محققان می‌گویند نقص‌های کدکس OpenAI و کد VS مایکروسافت بدون اصلاح باقی می‌مانند و به طور بالقوه توسعه‌دهندگانی را که از پیکربندی‌های آسیب‌دیده استفاده می‌کنند در معرض خطر قرار می‌دهند.

استارت‌آپ امنیتی هوش مصنوعی Forever Security آسیب‌پذیری‌هایی را در Cursor، GitHub Copilot، Anthropic's Claude Desktop، VS Code و Codex کشف کرد و چهار مورد از نقص‌ها را برای فروشندگان آسیب‌پذیر فاش کرد. GitHub به طور مستقل آسیب پذیری Copilot را بدون دریافت گزارشی از Forever Security برطرف کرد. هر پنج مورد یک ضعف امنیتی مشترک دارند: مرورگرهای تعبیه شده قابلیت هایی فراتر از آنچه در دسترس مرورگرهای معمولی است.

گال وایزمن، محقق فوراور، در گزارشی پنجشنبه نوشت، هر ابزار «مرورگر تعبیه‌شده خود را فراتر از آنچه یک مرورگر معمولی اجازه می‌دهد، غنی‌سازی کرد، و این غنی‌سازی‌ها مدل تهدید سنتی را تضعیف کردند - به عنوان ورودی عامل، به عنوان مرجع در آدرس خود برگه یا دسترسی به میزبان».

Forever این دسته از آسیب‌پذیری‌ها را Embrace، مخفف EMbedded Browser نامید و گفت که این نقص‌ها منجر به اجرای کد در مکان‌نما، سرقت اطلاعات در Claude Desktop، Codex و VS Code و جعل نوار آدرس در GitHub Copilot شده است.

در اینجا هر یک از اینها به نظر می رسد، که با مکان نما شروع می شود.

مکان نما: اجرای کد دلخواه

صفحات وب معمولی نمی توانند دستورات را روی رایانه میزبان اجرا کنند زیرا جاوا اسکریپت صفحه وب نمی تواند با برنامه های محلی صحبت کند.

با این حال، مرورگر یکپارچه مکان‌نما به صفحه اجازه می‌دهد تا با آهنگساز عامل تماس بگیرد. عامل این را به عنوان دستورالعمل می خواند و از آنها پیروی می کند، اما دستورالعمل ها از دید کاربران انسانی پنهان می ماند. این عامل کدگذاری را برای تحریک حملات تزریقی باز می کند که می تواند به مهاجم اجازه دهد دستورات را روی ماشین میزبان اجرا کند.

محققان در 10 سپتامبر این آسیب‌پذیری را برای Cursor فاش کردند و فروشنده بی‌صدا این نقص را در 1 اکتبر اصلاح کرد. طبق گفته Forever، Cursor توصیه‌ای امنیتی درباره این مشکل منتشر نکرد و به افشای محققان پاسخ نداد.

مکان نما همچنین به درخواست The Register برای نظر دادن پاسخی نداد.

GitHub Copilot: جعل نوار آدرس

تحت عملیات عادی مرورگر، یک صفحه وب نمی تواند محتوای نوار آدرس را تغییر دهد.

ویزمن نوشت: «پیش‌نمایش مرورگر Copilot متفاوت عمل می‌کند. "برخی از صفحات آدرس خود را بدون بارگیری صفحه جدید تغییر می دهند و برنامه همیشه نمی تواند آن را ببیند. بنابراین Copilot به صفحه اجازه می دهد تا آدرس خود را به برنامه بگوید."

این برنامه فقط بررسی می کرد که آیا متن شبیه یک آدرس وب است یا خیر، که با http، https یا فایل شروع می شود، اما بررسی نمی کرد که برگه واقعا به کجا اشاره دارد. این می تواند برای فریب مرورگر تعبیه شده برای نمایش یک URL جعلی - مانند github.com/login - در نوار آدرس، در حالی که یک وب سایت تقلبی - مانند یک صفحه فیشینگ - در زیر آن بارگیری می شود، مورد سوء استفاده قرار گیرد.

محققان در تاریخ 26 سپتامبر نقص جعل نوار آدرس را در GitHub Copilot 1.1.27 پیدا کردند. GitHub به طور مستقل این نقص را در نسخه بعدی Copilot (1.1.29) در 13 اکتبر بدون دریافت گزارش آسیب پذیری از Forever برطرف کرد.

ما با GitHub تماس گرفتیم و پاسخی دریافت نکردیم.

Claude Desktop، Codex و VS Code: فایل دلخواه خوانده می شود

هر سه دستیار کدنویسی این فروشندگان به فایل‌های HTML محلی که در مرورگر داخلی باز می‌شوند اجازه می‌دهند تا از مرزهای آن فرار کرده و به فایل‌های دیگر دسترسی پیدا کنند.

هر دو Claude Desktop و VS Code به صفحات محلی اجازه دسترسی به پوشه های پروژه مربوطه خود را می دهند، اما محققان دریافتند که این محدودیت ها برای وب کارمندان اعمال نمی شود - یک ویژگی مرورگر که به جاوا اسکریپت اجازه می دهد تا در یک رشته پس زمینه، جدا از رشته اصلی صفحه اجرا شود.

این بدان معنی است که یک صفحه محلی می تواند یک Worker را راه اندازی کند و کارگر می تواند محدودیت ها را برای دسترسی به هر فایلی در دستگاه دور بزند.

با این حال، Codex این محدودیت را نداشت، به این معنی که یک صفحه محلی می‌توانست هر فایلی را مستقیما بدون کارگر بخواند.

ویزمن گفت که تیم او این مشکل را در 23 ژوئیه برای Anthropic فاش کرد و فروشنده هوش مصنوعی گزارش اشکال Claude Desktop را به عنوان نامعتبر برای مرز امنیتی محصور شده "تراست فضای کاری" رد کرد. با این حال، یک روز بعد، بنا به گفته ویزمن، Noma Security همین نقص را گزارش کرد و آنتروپیک این گزارش را معتبر پذیرفت.

Anthropic به سوالات The Register در مورد گزارش اشکال یا جدول زمانی رویدادهای Forever پاسخ نداد.

Forever باگ Codex را در 27 جولای به OpenAI فاش کرد و پاسخی دریافت نکرد. تیم امنیتی می گوید که هنوز اصلاح نشده است. OpenAI به سوالات ما پاسخ نداد، از جمله اینکه آیا قصد دارد نقص را برطرف کند.

در 10 سپتامبر، Forever آسیب‌پذیری VS Code را برای مایکروسافت فاش کرد و گفت که فروشنده آن را به‌عنوان یک مشکل مرز امنیتی فضای کاری نامعتبر نامیده است. محققان ادعا می‌کنند که هنوز وصله نشده است. مایکروسافت به درخواست ما برای اظهار نظر پاسخ نداد