Встроенный браузер OpenAI Codex позволял специально подготовленной HTML-странице читать файлы далеко за пределами открытого проекта. В лабораторных испытаниях исследователи добрались до SSH-ключей, токенов доступа и других конфиденциальных данных. Аналогичные проблемы обнаружились в VS Code и Claude Desktop.
29 октября компания Forever Security опубликовала исследование EMBRACE. Специалисты проверили браузеры пяти популярных инструментов: Cursor, GitHub Copilot, Claude Desktop, Codex и VS Code. Уязвимости нашлись во всех пяти, но работали они по-разному.
В Cursor вредоносная веб-страница могла незаметно подсунуть ИИ-агенту команду для выполнения на компьютере. В эксперименте агент сначала попытался выполнить её в защищённой среде. Когда система заблокировала действие, ИИ самостоятельно отключил песочницу и повторил попытку.
В результате исследователи запустили на компьютере обычный калькулятор. Вместо него могла оказаться и вредоносная программа.
GitHub Copilot отличился другой проблемой. Его встроенный браузер позволял веб-странице самостоятельно сообщать, какой адрес показывать пользователю. Злоумышленник мог открыть поддельную форму входа, а в адресной строке отобразить настоящий github.com/login. Причём неправильному адресу верил и сам ИИ-помощник.
С исправлениями ситуация неоднозначная.
Cursor устранил уязвимость 1 октября, не публикуя отдельного предупреждения. GitHub исправила ошибку Copilot в версии 1.1.29, выпущенной 13 октября.
А вот Codex и VS Code на момент публикации исследования, 29 октября, оставались без исправлений.
OpenAI сообщила изданию The Register, что знает о проблеме и работает над её устранением. Microsoft, по словам исследователей, отклонила сообщение об уязвимости VS Code, сославшись на существующий механизм доверия к рабочим папкам.
О реальных атаках с использованием этих находок исследователи не сообщали. Все описанные способы взлома были продемонстрированы в контролируемых условиях.
Пока проблемы Codex и VS Code не устранены, безопаснее не открывать в их встроенных браузерах HTML-файлы из неизвестных проектов. Даже если ссылку предлагает сам ИИ-помощник: именно такой сценарий Forever Security использовала в одной из демонстраций.