Vulnerabilidades críticas llamadas Embrace en herramientas de IA como Cursor, Copilot y VS Code, que podrían permitir la ejecución de código malicioso o el robo de archivos. Mientras algunas empresas ya corrigieron los fallos, otras como OpenAI y Microsoft aún no los han solucionado.






Múltiples vulnerabilidades en cinco populares herramientas de desarrollo de IA podrían permitir que los atacantes ejecuten código en una máquina anfitriona, lean y roben archivos, o suplanten las barras de direcciones del navegador. Los investigadores afirman que los fallos en Codex de OpenAI y VS Code de Microsoft siguen sin parchear, poniendo potencialmente en riesgo a los desarrolladores que utilizan las configuraciones afectadas.

La startup de seguridad de IA Forever Security descubrió vulnerabilidades en Cursor, GitHub Copilot, Claude Desktop de Anthropic, VS Code y Codex, y reveló cuatro de los fallos a los proveedores afectados. GitHub solucionó de forma independiente la vulnerabilidad de Copilot sin recibir un informe de Forever Security. Las cinco comparten una debilidad de seguridad común: navegadores integrados que conceden capacidades más allá de las disponibles en los navegadores convencionales.

Cada herramienta “enriqueció su navegador integrado más allá de lo que permite un navegador normal, y esos enriquecimientos socavaron el modelo de amenazas tradicional, ya sea como entrada del agente, como autoridad sobre la dirección de una pestaña o como acceso al anfitrión”, escribió el investigador de Forever Gal Weizman en un informe del jueves [enlace].

Forever denominó a esta clase de vulnerabilidad “Embrace” (abreviatura de EMbedded BRowser) y afirmó que los fallos provocaron la ejecución de código en Cursor, el robo de datos en Claude Desktop, Codex y VS Code, y la suplantación de la barra de direcciones en GitHub Copilot.

A continuación se detalla cada uno de ellos, empezando por Cursor.

Cursor: ejecución de código arbitrario

Las páginas web típicas no pueden ejecutar comandos en el ordenador anfitrión porque el JavaScript de una página web no puede comunicarse con las aplicaciones locales.

Sin embargo, el navegador integrado de Cursor permite que una página llame al compositor del agente. El agente lee esto como instrucciones y las sigue, pero las instrucciones permanecen ocultas para los usuarios humanos. Esto expone al agente de codificación a ataques de inyección de prompts que podrían permitir a un atacante ejecutar comandos en la máquina anfitriona.

Los investigadores revelaron la vulnerabilidad a Cursor el 10 de septiembre, y el proveedor parcheó el fallo silenciosamente el 1 de octubre. Según Forever, Cursor no publicó un aviso de seguridad sobre el problema ni respondió a la revelación de los investigadores.

Cursor tampoco respondió a la solicitud de comentarios.

Github copilot: suplantación de la barra de direcciones

En las operaciones normales del navegador, una página web no puede cambiar el contenido de la barra de direcciones.

“La vista previa del navegador de Copilot funciona de manera diferente”, escribió Weizman. “Algunas páginas cambian su dirección sin cargar una página nueva, y la aplicación no siempre puede ver eso. Por lo tanto, Copilot permitió que la página le indicara a la aplicación su propia dirección”.

La aplicación solo comprobaba si el texto parecía una dirección web (comenzando por http, https o file), pero no comprobaba a dónde apuntaba realmente la pestaña. Esto puede abusarse para engañar al navegador integrado y que muestre una URL suplantada —como github.com/login— en la barra de direcciones, mientras carga un sitio web fraudulento —como una página de phishing— debajo.

Los investigadores encontraron el fallo de suplantación de la barra de direcciones en GitHub Copilot 1.1.27 el 26 de septiembre. GitHub solucionó el fallo de forma independiente en una versión posterior de Copilot (1.1.29) el 13 de octubre sin recibir un informe de vulnerabilidad de Forever.

Nos pusimos en contacto con GitHub y no recibimos respuesta.

Claude desktop, codex y vs code: lectura de archivos arbitrarios

Los asistentes de codificación de estos tres proveedores permiten que los archivos HTML locales abiertos en el navegador integrado escapen de sus límites y accedan a otros archivos.

Tanto Claude Desktop como VS Code permiten que las páginas locales accedan a sus respectivas carpetas de proyecto, pero los investigadores descubrieron que estas restricciones no se aplicaban a los web workers (una función del navegador que permite que JavaScript se ejecute en un hilo de fondo, separado del hilo principal de la página).

Esto significa que una página local puede iniciar un worker, y el worker puede eludir las restricciones para acceder a cualquier archivo de la máquina.

Codex, sin embargo, no tenía esta misma restricción, lo que significa que una página local podía leer cualquier archivo directamente sin un worker.

Weizman dijo que su equipo reveló el problema a Anthropic el 23 de julio, y el proveedor de IA rechazó el informe del error de Claude Desktop por considerarlo inválido debido a un límite de seguridad de “confianza del espacio de trabajo”. Sin embargo, un día después, Noma Security informó del mismo fallo, según Weizman, y Anthropic aceptó el informe como válido.

Anthropic no respondió a las preguntas sobre ninguno de los dos informes de errores ni sobre la cronología de eventos de Forever.

Forever reveló el error de Codex a OpenAI el 27 de julio y no obtuvo respuesta. El equipo de seguridad afirma que sigue sin parchear. OpenAI no respondió a nuestras consultas, incluyendo si planeaba solucionar el fallo.

El 10 de septiembre, Forever reveló la vulnerabilidad de VS Code a Microsoft y afirma que el proveedor también la calificó como un problema inválido de límite de seguridad de confianza del espacio de trabajo. Los investigadores afirman que permanece sin parchear. Microsoft no respondió a nuestra solicitud de comentarios.

Fuente:
TheRegister