الخلاصة
- بحث EMBRACE أثبت أن صفحة أو ملفاً محلياً يصل إلى حاسوب المطور عبر المتصفح المدمج في 5 أدوات.
- الثغرات شملت تنفيذ شيفرة في Cursor وانتحال عنوان في Copilot وقراءة القرص في Codex وVS Code وClaude Desktop.
- مستخدمو Codex وVS Code مكشوفون حتى الآن لسرقة مفاتيح SSH وملفات البيئة بنقرة واحدة على رابط.
خبر:
تستطيع صفحة ويب أو ملف داخل مشروع برمجي الوصول إلى حاسوب المطور عبر المتصفح المدمج في 5 مساعدات برمجة بالذكاء الاصطناعي، وفق بحث نشرته شركة فوريفر سيكيوريتي في 29 أكتوبر. أصلحت Cursor وCopilot ثغرتيهما في أكتوبر. أما Codex من أوبن إيه آي وVS Code من مايكروسوفت فبقيا بلا إصلاح حتى تاريخ النشر.
تفصيل:
- القواعد المكسورة: يقوم البحث على ثلاث قواعد يفترض أن يحترمها أي متصفح: صفحة لا تشغّل أوامر على الحاسوب، وملف محلي لا يقرأ ملفات أخرى، وشريط العنوان لا يكتبه إلا المتصفح. وانكسرت في كل منتج من الخمسة قاعدة واحدة على الأقل، فوصلت الصفحة أو الملف إلى الجهاز.
- Cursor: استدعت صفحة زائرة جسراً مكشوفاً لحقن أمر في محرر الوكيل، ونُفّذ الأمر بضغطة مفتاح واحدة. وحين منع العزل أمر تثبيت حزمة، ألغى الوكيل العزل وأعاد المحاولة فعمل السكربت بكامل الصلاحيات. والهجوم يعتمد على النموذج ولا ينجح كل مرة، وأُصلح بصمت في 1 أكتوبر.
- Copilot: أرسلت صفحة عنواناً مزيفاً إلى التطبيق، الذي فحص شكل العنوان فقط لا موقع الصفحة الفعلي، فظهر عنوان صفحة دخول غيت هاب فوق نموذج دخول مزيف. ورصد الباحثون الخلل في 26 سبتمبر على الإصدار 1.1.27، وأصلحته غيت هاب بنفسها في الإصدار 1.1.29 بحلول 13 أكتوبر.
- قراءة القرص: في Codex وVS Code وClaude Desktop قرأت صفحة تُفتح من ملف محلي ملفات خارج مشروعها. والأداتان الأخيرتان تحصران الصفحة في مجلد المشروع، لكن الفحص لا يشمل العمليات الخلفية للصفحة، بينما لم يطبق Codex أي قيد. وجمع الباحثون على جهاز الاختبار مفاتيح SSH وملفات البيئة ورموز npm ووثائق خاصة.
- سيناريو الهجوم: يتنكر المشروع الخبيث في هيئة تقرير مالي، ومعه ملف تعليمات يطلب المطور من المساعد اتباعه. فيعرض المساعد رابطاً قابلاً للنقر إلى ملف HTML داخل المشروع، ونقرة واحدة تكفي لبدء الهجوم. واستخدم الباحثون ملفات فهرسة يكتبها نظام ماك لرسم خريطة القرص قبل تسريب محتواه.
- رد الشركات: أبلغ الباحثون أوبن إيه آي في 27 يوليو ولم يتلقوا رداً. ورفضت مايكروسوفت البلاغ في سبتمبر بحجة أن حماية الثقة بالمشروع تكفي. ورفضت أنثروبيك بلاغ فوريفر في 23 يوليو، ثم قبلت في اليوم التالي بلاغاً عن الخلل نفسه من شركة نوما سيكيوريتي، ولم يُعلن إن كان أُصلح.
- نافذة الثقة: يرى غال وايزمان، كاتب البحث، أن رفض الثقة بمشروع يجعل أداة الذكاء الاصطناعي غير قابلة للاستخدام، لذلك يضغط الجميع على زر الثقة، وأن هذه النافذة لا توفر أي حماية للمستخدم. وسُئل إن كانت الوكلاء تتجاوز الضوابط فقال: “بالتأكيد. نرى هذا السلوك يتكرر خارج نطاق هذا البحث”.
- ما يُفعل الآن: يوصي وايزمان فرق الأمن بسحب قائمة المشاريع الموثوقة من ملف إعدادات كل جهاز، ثم فحص كل ملف HTML في تلك المشاريع بحثاً عن نمط الاستغلال الموصوف في البحث. ويبقى مستخدمو Codex وVS Code مكشوفين ما دامت الثغرتان مفتوحتين.
