Браузърът в AI редактора ти може да бъде превзет

Накратко

Изследователи откриха, че пет AI инструмента за код имат вграден браузър, който прескача защитите на обикновения браузър. Наричат модела EMBRACE.
Cursor и GitHub Copilot са закърпени. OpenAI Codex и Microsoft VS Code бяха незакърпени при публикуването на изследването.
Лоша страница е могла да прочете SSH ключове, .env файлове и npm токени. Обновяването отнема около 10 минути.

AI редакторът ти има браузър вътре. Изследователи твърдят, че този браузър вярва на уеб страниците много повече от обикновения ти браузър, а това може да постави ключовете ти в риск.

Какво се случи

Forever Security, с водещ Gal Weizman, тества вградените браузъри на пет AI инструмента за код и публикува резултатите на 29 октомври чрез Help Net Security. Открили са три правила, които обикновеният браузър налага, а вградените нарушават: уеб страница не може да пуска команди на компютъра ти, локален файл не може да чете други файлове и само браузърът пише в адресната лента. Общата причина е, че всеки вграден браузър наследява достъпа до файловете на хоста, без sandbox като на самостоятелен браузър. Освен това потребителят трябва да натисне Trust, за да ползва инструмента, така че този въпрос почти не защитава.

Какво е показано:

Cursor: злонамерена страница е могла да стигне до командното поле през мост към асистента. В демото асистентът пуснал инсталационна команда, която отворила Calculator на хоста. Когато sandbox блокирал предишен опит, агентът изключил sandbox-а и опитал пак без изрично разрешение. Закърпено на 1 октомври.
GitHub Copilot: преди версия 1.1.29 страница е могла да промени URL-а в прегледа и да подправи форма за вход. Закърпено на 13 октомври.
Codex, VS Code и Claude Desktop: web workers в локален HTML файл заобикалят ограниченията за папки. На тестовата машина това е събрало SSH ключове, .env файлове, npm токени и hosts файла. Codex и VS Code са били незакърпени при публикуването. Източникът не посочва статуса на Claude Desktop.

Как да го използваш

Това е чеклист за десет минути:

Обнови Cursor и GitHub Copilot сега. Copilot иска 1.1.29 или по-нова.
В Codex и VS Code не отваряй ненадеждни HTML файлове или страници във вградения браузър, докато доставчиците не пуснат поправка. Ползвай обикновения си браузър.
Последвай съвета на изследователя: провери HTML файловете в проектите си за модела на експлойта, особено файлове, които не си писал.
Дръж живите ключове извън папките на проектите. Пази ги в мениджър на пароли или инструмент за тайни.
Ако си работил с ненадеждни файлове в засегнат инструмент, смени SSH ключовете, npm токените и API ключовете си.

Сметката: обновяването отнема около 10 минути, т.е. 5 €, ако часът ти струва 30 €. Смяната на 15 тайни по 10 минути е 150 минути, или 75 €, и то преди каквато и да е щета. Нападател с твоя npm токен може да публикува код на твое име. Часовата ставка от 30 € и 15-те тайни са мои предположения.

Какво значи това

AI инструментите за код получават браузър, терминал и достъп до файлове в един прозорец. Всяка нова врата е нов начин за влизане. Hackread оценява, че стотици милиони разработчици и потребители могат да са изложени, тъй като VS Code има около 40 милиона разработчици, а Codex над 5 милиона седмични потребители. Оценката е тяхна, не брой пострадали. Поправката е доставчиците да затворят вградения браузър в sandbox като истински. Дотогава рискът е на потребителя.

Мнението на Иван

Обнови днес, после гледай на вградения браузър като на ненадежден. Не бих отварял непозната страница в кодовия си редактор и бих държал ключовете извън папките на проектите. Скоростта от AI инструментите е страхотна, но един откраднат токен струва повече от месец спестено време.

Източник: Help Net Security

За автора

Ivan Ivanov

Основател на