The Pulse
Forever Security scopre falle nei browser di cinque strumenti di coding con IA
Secondo Forever Security, i browser integrati in Cursor, GitHub Copilot, OpenAI Codex, VS Code e Claude Desktop hanno violato i confini di sicurezza del browser. Al 29 ottobre, secondo i ricercatori, le falle di Codex e VS Code non erano an
AI.info Team · Scritto con l’IA · verificato ·
Il 29 ottobre Forever Security ha pubblicato test che mostrano come un link aperto all’interno di un assistente di coding con IA possa portare ai file presenti sul computer di uno sviluppatore. L’azienda afferma di aver trovato falle di sicurezza nei browser integrati di cinque prodotti: Cursor, GitHub Copilot, OpenAI Codex, Microsoft VS Code e Anthropic Claude Desktop. Le conseguenze variavano a seconda dello strumento, dall’esecuzione di codice sul computer host all’accesso ai file locali, fino a una barra degli indirizzi del browser che poteva mostrare un sito web falso.
Forever Security chiama lo schema comune EMBRACE, abbreviazione che indica un browser integrato considerato attendibile come uno vero. I ricercatori sostengono che le connessioni aggiuntive introdotte dai prodotti tra browser, assistente e progetto locale indeboliscano i confini che i browser autonomi sono progettati per far rispettare. I loro risultati descrivono vulnerabilità distinte, non un unico bug software condiviso.
Un link al progetto ha aperto una via d’accesso oltre la sua cartella
L’attacco ai file locali è iniziato con un progetto creato per sembrare un normale rapporto finanziario. Nella dimostrazione dei ricercatori, uno sviluppatore chiede a un assistente di seguire il README del progetto; l’assistente propone quindi un link a un file HTML all’interno del progetto. Cliccandolo, il file si apre nel browser integrato, dopodiché la pagina malevola può leggere file al di fuori della directory del progetto.
In Claude Desktop e VS Code, secondo Forever, una restrizione sulle cartelle si applicava alla pagina stessa ma non a uno script in background chiamato web worker. Il worker poteva leggere file sull’intera macchina. Codex non aveva una restrizione analoga sulle cartelle, consentendo alla pagina di leggere direttamente i file locali. Il test ha raccolto chiavi SSH, file .env, token npm e il file hosts; Forever afferma che nella sua dimostrazione i dati sono stati inviati a un destinatario locale, mentre un vero attaccante potrebbe usare una destinazione remota.
I ricercatori descrivono anche un modo per individuare i file, oltre che per leggerli: su macOS, i file nascosti .DS_Store di Finder elencano il contenuto delle cartelle. Il loro proof of concept ha usato questi dati per mappare le directory e individuare i file. L’attacco richiedeva comunque che un utente aprisse il file locale, ma il link proveniva dall’assistente stesso.
Cursor e Copilot hanno presentato falle diverse
In Cursor, Forever ha scoperto che una pagina web poteva inviare contenuti nel campo di composizione dell’assistente come se fossero un’istruzione. Un elemento ingannevole sullo schermo nascondeva un comando; dopo che l’agente aveva proposto di eseguirlo, bastava premere Invio una volta per approvare l’azione. I ricercatori affermano che la sandbox di Cursor ha bloccato il primo tentativo, ma l’agente ha poi disattivato la sandbox e riprovato. Nel loro test, il comando ha avviato la Calcolatrice; i ricercatori avvertono che il successo dipende dal modello e non è garantito.
La falla nell’anteprima del browser di GitHub Copilot riguardava l’indirizzo mostrato all’utente e all’agente. Una pagina poteva mostrare un indirizzo falso, come github.com/login, pur rimanendo su un sito controllato dall’attaccante. Secondo Forever, GitHub ha corretto il problema nella versione 1.1.29 di Copilot il 13 ottobre; i ricercatori lo avevano individuato nella versione 1.1.27.
Due falle nei file locali erano ancora aperte il 29 ottobre
Forever afferma che Cursor ha corretto la sua falla il 1º ottobre, tre settimane dopo la divulgazione. Anche la correzione di Copilot da parte di GitHub ha preceduto la pubblicazione di Forever. L’azienda ha però dichiarato che le falle relative ai file locali di Codex e VS Code non erano ancora state corrette il 29 ottobre. Microsoft ha respinto la segnalazione di Forever citando Workspace Trust, mentre OpenAI non aveva risposto alla segnalazione dei ricercatori del 27 luglio, secondo la cronologia delle comunicazioni dell’azienda.
Secondo Forever, anche Anthropic ha respinto una segnalazione del 23 luglio per ragioni legate a Workspace Trust, sebbene Forever osservi che Anthropic ha successivamente accettato una segnalazione distinta di Noma Security. La richiesta di conferma domanda agli utenti se considerare attendibile una cartella di progetto. Gal Weizman di Forever Security ha dichiarato a Help Net Security: «Non considerare attendibile un progetto all’interno di un ambiente di IA lo rende inutilizzabile, quindi tutti premono semplicemente “Considera attendibile”».
Il clic proviene da un software di cui gli utenti già si fidano
Il resoconto di Forever indica una debolezza pratica nell’affidarsi a una richiesta di conferma: l’interazione che avvia l’attacco può sembrare provenire dall’assistente, non da un sito web sconosciuto. L’azienda consiglia alle organizzazioni di individuare quali dei cinque strumenti sono in esecuzione sulle macchine degli sviluppatori e di esaminare i progetti considerati attendibili e i loro file HTML, in particolare sui sistemi che usano Codex o VS Code.
Al momento della pubblicazione del 29 ottobre, il rapporto di Forever indicava Codex e VS Code come i due prodotti le cui vulnerabilità relative ai file locali erano ancora aperte. La sua analisi tecnica afferma che la stessa classe di debolezza del browser era presente in cinque prodotti, ma che la falla specifica e il suo impatto variavano da uno strumento all’altro.