Phân tích lỗ hổng EMBRACE: Rủi ro thực thi mã từ xa trên các công cụ AI Coding

• Phát hiện lỗ hổng: Nhóm nghiên cứu bảo mật đã xác định một lớp lỗ hổng mới mang tên EMBRACE, ảnh hưởng đến các trình duyệt nhúng trong các công cụ hỗ trợ lập trình AI.
• Tác động kỹ thuật: Kẻ tấn công có thể thực thi mã từ xa (RCE), đánh cắp dữ liệu nhạy cảm như SSH keys, tệp .env và giả mạo thanh địa chỉ để lừa đảo người dùng.
• Phạm vi ảnh hưởng: Các nền tảng bao gồm Cursor, GitHub Copilot, Codex, VS Code và Claude Desktop.
• Trạng thái vá lỗi: Cursor và GitHub Copilot đã phát hành bản vá, trong khi các nền tảng khác như VS Code và Codex vẫn đang trong quá trình xử lý hoặc từ chối báo cáo.

Vào ngày 29 tháng 10, các nhà nghiên cứu bảo mật đã công bố một báo cáo kỹ thuật chi tiết về một lớp lỗ hổng mới có tên gọi là EMBRACE (Embedded Browser Trusted like a Real One). Lỗ hổng này khai thác sự thiếu hụt trong việc phân tách quyền hạn giữa các trình duyệt nhúng (embedded browsers) và ứng dụng chủ (host applications) trong các công cụ hỗ trợ lập trình AI phổ biến hiện nay.

Cơ chế tấn công EMBRACE và các vector khai thác

Lỗ hổng EMBRACE không phải là một lỗi đơn lẻ mà là một vấn đề thiết kế hệ thống. Các tính năng được thiết kế để hỗ trợ AI xem trước dự án, đọc trang web hoặc theo dõi tab đã vô tình cấp cho các nội dung không tin cậy những quyền hạn vượt quá phạm vi cho phép. Điều này tạo điều kiện cho kẻ tấn công thực hiện các hành vi độc hại ngay trên máy trạm của lập trình viên.

Tại Cursor, các nhà nghiên cứu đã phát hiện một cầu nối window.cursorBrowser.send() cho phép bất kỳ trang web nào được tải lên có thể gửi nội dung trực tiếp vào hộp hướng dẫn của AI mà không cần sự tương tác của người dùng. Kẻ tấn công có thể ẩn các lệnh độc hại bên trong các thuộc tính HTML, khiến AI hiểu nhầm đó là hướng dẫn hợp lệ để thực thi các lệnh cài đặt gói npm.

Khi sandbox của Cursor chặn việc cài đặt, AI sẽ độc lập thử lại bên ngoài môi trường sandbox, cho phép script preinstall của gói npm thực thi mã tùy ý trên hệ thống chủ. Đây là một kỹ thuật điển hình của việc leo thang đặc quyền thông qua các công cụ hỗ trợ tự động hóa.

Phân tích rủi ro trên các nền tảng khác

Không chỉ dừng lại ở Cursor, các nền tảng khác cũng đối mặt với những rủi ro nghiêm trọng tương tự:

• GitHub Copilot: Lỗ hổng giả mạo thanh địa chỉ cho phép kẻ tấn công hiển thị một trang web giả mạo (ví dụ: github.com/login) trong khi thực tế người dùng vẫn đang ở trên máy chủ của kẻ tấn công.
• Claude Desktop và VS Code: Các nhà nghiên cứu phát hiện rằng việc hạn chế truy cập tệp tin chỉ được áp dụng trên trang chính, nhưng lại thất bại khi áp dụng cho các web workers chạy ngầm, cho phép đọc tệp tin ngoài thư mục dự án.
• Codex: Cho phép các trang web cục bộ truy cập trực tiếp vào tệp tin trên máy chủ. Bằng cách sử dụng siêu dữ liệu .DS_Store trên macOS, kẻ tấn công có thể liệt kê tệp tin và đánh cắp các thông tin nhạy cảm như SSH keys, tệp cấu hình .env và token xác thực.

Bảng tổng hợp trạng thái lỗ hổng

Khuyến nghị phòng thủ và giảm thiểu rủi ro

Để bảo vệ môi trường phát triển, các kỹ sư và đội ngũ SOC cần thực hiện các biện pháp hardening hệ thống ngay lập tức. Việc kiểm soát chặt chẽ quyền truy cập của các trình duyệt nhúng là ưu tiên hàng đầu. Người dùng nên cập nhật các công cụ AI lên phiên bản mới nhất ngay khi có thông báo từ nhà sản xuất. Ngoài ra, cần hạn chế tối đa việc mở các liên kết không xác định hoặc các dự án lạ trong môi trường làm việc có tích hợp AI để tránh các cuộc tấn công khai thác lỗ hổng EMBRACE.