Vulnerabilità nei browser integrati di strumenti di sviluppo

L'azienda di sicurezza informatica Forever Security ha riferito che i browser integrati negli strumenti di sviluppo assistito, tra cui Codex e Visual Studio Code, presentano una vulnerabilità che consente la lettura di file esterni al progetto. La segnalazione è stata resa pubblica il 29 ottobre e, al momento della pubblicazione, i difetti nei due prodotti menzionati non erano stati ancora corretti. Il gruppo di ricerca ha condotto un'analisi su cinque applicazioni desktop, identificando una serie di problemi che ha denominato EMBRACE. Le criticità individuate si dividono in tre categorie principali: l'estrazione di file, l'esecuzione di comandi e la falsificazione dell'indirizzo visualizzato. Non tutti i prodotti analizzati condividono lo stesso identico difetto, ma ciascuno presenta specifiche debolezze nella gestione del browser integrato. Nel caso specifico di Codex, i ricercatori hanno dimostrato di poter leggere direttamente file situati fuori dalla cartella del progetto aperto.

Per Visual Studio Code e Claude Desktop, sebbene l'accesso ai file fosse limitato all'ambito del progetto, il meccanismo di elaborazione in background noto come Web Worker non era soggetto a tale restrizione. I test, effettuati su un computer Mac, hanno permesso di estrarre chiavi di autenticazione e token di sviluppo. Per sfruttare queste vulnerabilità, l'utente deve aprire un file HTML malevolo all'interno del browser integrato. I ricercatori hanno inoltre dimostrato come un'intelligenza artificiale, istruita a preparare un progetto seguendo una documentazione, possa generare un collegamento a tale file, inducendo l'utente a cliccarlo. In Cursor, è stato possibile inviare istruzioni invisibili all'interfaccia di input dell'intelligenza artificiale per farle eseguire comandi, un attacco che richiede la conferma dell'utente tramite il tasto Invio e la cui efficacia dipende dal modello utilizzato.