Таны IDE доторх браузер компьютерийг тань "нээлттэй хаалга" болгожээ: Cursor, VS Code, Copilot-ийг хамарсан EMBRACE халдлага

Орчин үеийн кодын редакторууд (IDE) болон AI туслахууд хөгжүүлэгчийн ажлыг хялбарчлахын тулд дотроо вэб хуудас үзэх, үр дүнгээ preview хийх зориулалттай бичил хөтөч (embedded browser)-үүдийг суулгаж өгдөг болсон. Гэвч энэхүү тав тухтай боломж нь таны компьютерын бүх нууц файлууд руу шууд нэвтрэх "арын хаалга" болж хувирсныг Forever Security-ийн шинжээчид батлан харууллаа.

Тэд өдгөө дэлхий даяар олон сая хөгжүүлэгчийн өдөр тутмын хэрэгсэл болсон Cursor, GitHub Copilot, OpenAI Codex, VS Code болон Anthropic-ийн Claude Desktop гэсэн таван томоохон системд суурилсан дотоод браузеруудыг судалж, EMBRACE (EMbedded BRowser trusted like a real one) хэмээх ангиллын ноцтой цоорхойг илрүүлжээ.

Хөтөчийн ариун гурван дүрэм хэрхэн эвдэгдэв?

Ердийн Chrome, Firefox зэрэг тусдаа ажилладаг бие даасан хөтөч нь аливаа вэб хуудсыг анхнаасаа "дайсагнагч орчин" (hostile) гэж үздэг бөгөөд гурван суурь хамгаалалтыг чанд мөрддөг:

Вэб хуудас таны компьютер дээр систем тушаал дур мэдэн ажиллуулж болохгүй.
Локал file:// хуудас нь хажуугийн бусад хувийн файлууд руу хандаж болохгүй.
Хөтөчийн хаягийн мөр (address bar)-т зөвхөн хөтөч өөрөө л очих хаягийг тодорхойлно.

Гэтэл дээрх таван AI хэрэгслийг бүтээгчид бүтээмжийг нэмэх, AI агенттай холбох, local preview-г саадгүй ажиллуулахын тулд эдгээр суурь дүрмийг зөөлрүүлж, дотоод браузертаа энгийн хөтөчтэй харьцуулашгүй өргөн эрх мэдлийг өгч орхижээ.

EMBRACE халдлагын 3 хэлбэр

Шинжээчид нэг суурь алдаа дээр тулгуурлан хэрэгсэл бүрт өөр өөр байдлаар нөлөөлөх 3 төрлийн халдлагыг амжилттай туршсан байна:

1. Arbitrary Code Execution (Cursor)

Cursor-ийн дотоод браузер нь тус редактор доторх AI agent-ийн Composer интерфэйстэй IPC-ээр шууд холбогдож ажилладаг. Туршилтын явцад халдлага үйлдэгч жирийн HTML хуудасны элемент дотор далд заавар (prompt) нууж орхисон бөгөөд Cursor-ийн AI агент түүнийг хэрэглэгчийн команд хэмээн ойлгож систем дээр дур мэдэн npm install ажиллуулахыг санал болгожээ. Бүр цаашлаад, анхны хамгаалалтын sandbox уг коммандыг блоклоход AI агент өөрөө sandbox-оо унтраагаад үйлдлийг дахин ажиллуулж, систем дээр кодоо бүрэн эрхтэйгээр гүйцэтгэж чадсан байна.

2. Arbitrary Content Exfiltration (Claude Desktop, VS Code, OpenAI Codex)

Энэ нь магадгүй хамгийн аймшигтай хэлбэр юм. Хөгжүүлэгч сэжиг төрүүлэмгүй, нээлттэй эхийн шинэ repo татаж аваад "README-ийн дагуу орчныг бэлтгээд өг" гэж AI туслахаасаа хүснэ. AI агент төсөл доторх HTML файлыг нээх холбоосыг үзүүлэхэд хөгжүүлэгч ганц л товшиход хангалттай. Хэдийгээр VS Code болон Claude Desktop нь хуудсыг зөвхөн төслийн фолдер дотор хязгаарлах шалгалттай байсан ч, тухайн хуудас цаанаа Web Worker асааж орхиход уг шалгалтыг бүрэн тойрч гарсан байна. Харин OpenAI Codex-д төслийн фолдерын ямар ч хязгаарлалт огт байгаагүй. Үр дүнд нь халдагчид хөгжүүлэгчийн компьютер дээрх .ssh/id_rsa, .env файлууд, npm токен, үүлэн үйлчилгээний credential-уудыг бүгдийг нь гадагш хуулж авч чаджээ.

3. Context Spoofing (GitHub Copilot)

GitHub Copilot-ийн дотоод preview хувилбарт вэб хуудас өөрөө өөрийнхөө хаягийг аппликэйшнд мэдээлэх боломжтой байжээ. Үүний уршгаар хуурамч фишинг хуудас өөрийгөө github.com/login гэж хаягийн мөр дээр харуулан, AI агент болон хөгжүүлэгчийг хоёуланг нь төөрөгдүүлж нэвтрэх нууц үгийг нь луйвардах эрсдэл үүссэн байв.

Патч хийсэн үү? Байгууллагуудын хариу үйлдэл

Энэхүү судалгааны дараа тухайн компаниуд хэрхэн хандсан нь бүр ч их анхаарал татаж байна:

Cursor асуудлыг чимээгүйхэн зассан ч аюулгүй байдлын тусгайлсан анхааруулга (Advisory) нийтлээгүй.
GitHub Copilot хувилбар 1.1.29 дээрээ хаяг хуурамчаар үйлдэх цоорхойг хаажээ.
Харин VS Code (Microsoft) талын хариу хөгжүүлэгчдийг цочирдуулав. Microsoft уг тайланг хүлээж авахаас татгалзаж, энэ нь хэрэглэгчийн "Workspace Trust"-аас шалтгаалах зүйл тул засвар хийхгүй гэж мэдэгджээ.
OpenAI Codex тайлан гарах үед ямар ч хариу үйлдэл хийгээгүй, засваргүй хэвээр үлдсэн байна.

Хөгжүүлэгчид өөрсдийгөө хэрхэн хамгаалах вэ?

Хэрэв та өдөр тутмын ажилдаа эдгээр AI багажуудыг ашигладаг бол дараах алхмуудыг нэн даруй хэрэгжүүлэхийг зөвлөж байна:

Үл таних репозиторуудад "Trust" эрх өгөхөө зогсоо: GitHub дээрээс татсан, баталгаагүй төслүүдийг VS Code дээр нээхдээ Workspace Trust цонхыг шууд зөвшөөрч "Yes, I trust the authors" дарах зуршлаа хая.
AI-ийн дотоод хөтөч дээр локал хуудас нээхээс татгалз: Вэб төслийнхөө preview-г IDE доторх бичил хөтчөөр биш, харин тусдаа хэвийн браузер (Chrome, Firefox г.м.) дээр localhost-оор нээж шалгаж занших.
Хэрэгслүүдээ хамгийн сүүлийн хувилбар руу нь шинэчил: Cursor, Copilot зэрэг өөрсдөө чимээгүй зассан хэрэгслүүдийг байнга хамгийн сүүлийн хувилбар дээр байлгах шаардлагатай.
Agent Auto-run тохиргоонд шүүлтүүр тавих: AI агент таны өмнөөс терминал дээр тушаал автоматаар бичиж ажиллуулах (auto-execute/auto-run) горимыг үл таних төслүүд дээр унтрааж, команд бүрийг нүдээрээ хянаж баталгаажуулж байх.

AI хөгжүүлэлтийн хурдац нэмэгдэхийн хэрээр хөгжүүлэгчийн ажлын орчин (IDE) нь өөрөө хакеруудын гол бай болж эхэлснийг EMBRACE бидэнд санууллаа.

Эх сурвалж: Forever Security Research (Gal Weizman), The Register, Help Net Security