У OpenAI Codex та Microsoft VS Code виявлено вразливості, які дозволяють зловмисникам отримати доступ до файлів на комп’ютері користувачів, зокрема програмного коду, паролів та ключів доступу. Проблеми були повідомлені компаніям кілька місяців тому, але станом на 29 жовтня їх не усунули.
Дослідження компанії Forever Security показало, що вразливості пов’язані з вбудованими браузерами у Codex та VS Code. Ці браузери дозволяють відкривати вебсторінки та файли, що зазвичай не дозволяється. Дослідники виявили, що зловмисники можуть обійти захист, відкривши спеціально підготовлений HTML-файл.
Деталі вразливостей
- У Codex зловмисники можуть отримати доступ до будь-яких файлів на комп’ютері.
- У VS Code доступ до сторонніх файлів обмежений, але можна знайти обхідний шлях через фоновий код.
- Forever Security повідомила OpenAI про вразливість 27 липня, але відповіді не отримала.
- Microsoft отримала звіт 10 вересня, але відхилила його, вказавши на довіру до робочого середовища.
Дослідники також зазначили, що вразливості можуть стосуватися інших ШІ-інструментів з подібними функціями. Вони назвали цей клас вразливостей EMBRACE.
Рекомендації для розробників
Поки вразливості не усунуті, розробникам варто бути обережними з файлами, які вони відкривають у Codex та VS Code:
- Не відкривайте підозрілі HTML-файли у вбудованих браузерах.
- Перевіряйте файли, які пропонує відкривати ШІ-асистент.
- Використовуйте Restricted Mode у VS Code для роботи з незнайомими проєктами.
Раніше dev.ua повідомляв про інші вразливості, які дозволяли шкідливим файлам встановлювати віруси через Codex.
Джерело: dev.ua (https://dev.ua/news/vrazlyvosti-v-instrumentakh-dlia-rozrobnykiv-1793356989)