Чем популярнее становятся ИИ инструменты, тем привлекательней они становится для злоумышленников. И вот на прошлой неделе отгремели новые уязвимости. Честно говоря я не шибко следил за инцидентами в ИИ продуктах, но как будто бы до этого все писали только о проблемах внутри самих моделей, а тут уязвимости выходят так сказать на пользовательский периметр. Итак, в чем суть. В одном распространялась вредоносно изменённая сборка расширения Claude Code, в другом исследователи нашли способ выполнять код в origin ChatGPT и обращаться к API от имени пользователя.

1. Claude Code

Тут прям уязвимость уязвимость. В Cursor Marketplace обнаружили изменённые версии плагинов Claude Code для VS Code — 2.1.312 и 2.1.313 с вредоносами под капотом. Из маркетплейса их конечно уже удалили, но на пользовательских устройства эти версии наверняка все еще стоят. Суть уязвимости состоит в следующем:

- вредоносный код запускался в момент загрузки расширения - он добавлял публичный SSH-ключ злоумышленника в файле ~/.ssh/authorized_keys - запускал SSH-службу - настраивал обратный SSH-туннель для удалённого доступа к устройству пользователя; - закреплялся в системе, чтобы вредоносные процессы запускались повторно. В частности, описаны попытки использовать LaunchAgent на macOS и задачу в Windows - после этого злоумышленник мог не только собирать сведения о компьютере пользователя и отправить их на внешний сервер, но и буквально получал удаленный доступ к машине пользователя

Если вдруг у вас установленны данные плагины, то только удаления не хватит. Нужно будет дополнительно проверить и в случае обнаружения удалить процессы SSH-туннеля и механизмы автозапуска — например, LaunchAgent на macOS или запланированные задачи в Windows, проверить наличие публичных ключей в ~/.ssh/authorized_keys или их отпечатков.

2. ChatGPT

Второй инцидент затрагивал обработку HTML Preview и интерактивных графиков в ChatGPT. Исследователи смогли добиться выполнения JavaScript в origin сайта chatgpt.com - то есть код выполнялся в контексте сайта и мог вызывать его API от имени вошедшего пользователя.

Цепочка складывалась из нескольких компонентов:

- Функция ChatGPT Preview работала в отдельном фрейме, но интерактивный граф загружал MathLive. Библиотека устанавливала обработчик postMessage на основной странице. - Функция обработчик в MathLive недостаточно проверяла источник сообщения из-за чего злоумышлиник мог подменить HTML-разметку виртуальной клавиатуры… - MathLive вставлял подменённую разметку в основную страницу ChatGPT. Через созданный без изоляции iframe и разрешённый CSP источник YouTube злоумышленник мог запустить выполнения произвольного JavaScript уже в origin chatgpt.com

В результате код мог действовать в рамках веб-сессии пользователя: получать список разговоров, читать содержимое приватных чатов и отправлять данные на внешний сервер. Потенциально он мог обращаться и к другим API, доступным фронтенду ChatGPT от имени этого пользователя. Доступа к операционной системе или файлам на компьютере это не давало. OpenAI исправила проблему 26 октября. Уязвимости по своей природе разные, но оба показывают что ИИ продукты будут привлекать все больше и больше внимания со стороны злоумышленников.

Уязвимости по своей природе разные, но оба показывают что ИИ продукты будут привлекать все больше и больше внимания со стороны злоумышленников.