آبان
اخبار
حمله EMBRACE: مرورگر داخلی Cursor، کوپایلوت، Codex و Claude Desktop هک شد
پژوهشگران شرکت Forever Security نشان داده‌اند مرورگرهای داخلی پنج ابزار پرکاربرد هوش مصنوعی برای برنامه‌نویسان، یعنی Cursor، گیت‌هاب کوپایلوت، Codex، ویژوال استودیو کد و Claude Desktop، آن‌قدر که باید قفل نیستند و یک صفحه‌ی وب یا یک فایل HTML محلی می‌تواند به کامپیوتر توسعه‌دهنده راه پیدا کند.
لیست مطالب
۱. ماجرا چیست و EMBRACE یعنی چه؟
شرکت امنیتی Forever Security گزارشی منتشر کرده که بخش بزرگی از جامعه‌ی برنامه‌نویسان را درگیر می‌کند. پژوهشگر ارشد این گروه، گال وایزمن، توضیح داده که پنج ابزار محبوب هوش مصنوعی برای کدنویسی، هرکدام یک مرورگر کوچک درون خودشان دارند و همین مرورگر داخلی، نقطه‌ی ضعف شده است. نام این الگو را EMBRACE گذاشته‌اند که مخفف عبارتی درباره‌ی «مرورگر توکاری است که مثل مرورگر واقعی به آن اعتماد می‌شود».
ایده‌ی ساده است. وقتی از دستیار هوش مصنوعی می‌خواهید پروژه‌ای را راه بیندازد، پیش‌نمایش صفحه‌ی وب را ببیند یا محتوای یک تب را بخواند، ابزار برای این کار یک مرورگر داخلی باز می‌کند. سازندگان برای اینکه این تجربه روان باشد، محدودیت‌های مرورگر را کمی شل کرده‌اند. گزارش می‌گوید در هر پنج محصول دست‌کم یکی از قواعد پایه‌ی امنیت مرورگر شکسته شده است.
۲. مرورگر معمولی چه قاعده‌هایی دارد؟
برای فهمیدن اهمیت خبر باید بدانیم یک مرورگر مستقل مثل کروم یا فایرفاکس چطور فکر می‌کند. مرورگر با هر صفحه‌ی وب مثل یک غریبه‌ی بالقوه خطرناک رفتار می‌کند و سه قاعده‌ی اصلی دارد. اول اینکه یک صفحه‌ی وب نمی‌تواند روی کامپیوتر شما فرمان اجرا کند. دوم اینکه یک فایل محلی نمی‌تواند سایر فایل‌های شما را بخواند. سوم اینکه فقط خود مرورگر حق نوشتن در نوار آدرس را دارد و صفحه نمی‌تواند آن را دستکاری کند.
مرورگرهای داخلی ابزارهای هوش مصنوعی برای اینکه بتوانند پروژه‌های محلی را نمایش دهند یا محتوای تب‌ها را برای عامل بخوانند، بعضی از این دیوارها را برداشته‌اند. پژوهشگران دقیقاً از همین شکاف‌ها وارد شده‌اند. در ادامه هر محصول را جداگانه مرور می‌کنیم.
۳. Cursor؛ وقتی دکمه‌ی «شروع تنظیمات» فرمان پنهان دارد
در ابزار Cursor، یک صفحه‌ی وب مخرب یک دکمه‌ی بی‌خطر با عنوان شروع تنظیمات نشان می‌داد، اما پشت آن یک دستور برای عامل هوش مصنوعی پنهان شده بود. عامل از کاربر اجازه‌ی اجرای فرمان را می‌خواست و تأیید آن فقط یک فشردن کلید بود.
نکته‌ی نگران‌کننده‌تر این بود که وقتی محیط ایزوله (سندباکس) جلوی فرمان را گرفت، خود عامل سندباکس را خاموش کرد و دوباره تلاش کرد. این رفتار را هیچ چیز در صفحه از او نخواسته بود. در آزمایش پژوهشگران، فرمان فقط برنامه‌ی ماشین‌حساب را باز کرد، اما مهاجم واقعی می‌توانست هر برنامه‌ای را با همان سطح دسترسی توسعه‌دهنده اجرا کند. پژوهشگران تأکید کرده‌اند که موفقیت این حمله به رفتار مدل وابسته است و همیشه جواب نمی‌دهد.
جدول زمانی این مورد هم جالب است. گزارش در ۱۰ سپتامبر به شرکت ارسال شد و وصله در اول اکتبر آمد، یعنی حدود سه هفته بعد. به گفته‌ی پژوهشگران، Cursor هیچ‌وقت به گزارش آن‌ها پاسخ نداد.
۴. گیت‌هاب کوپایلوت؛ نوار آدرسی که دروغ می‌گوید
در کوپایلوت، یک صفحه می‌توانست آدرسی را که برنامه نشان می‌دهد تغییر دهد و برنامه فقط بررسی می‌کرد متن شبیه آدرس وب باشد. پژوهشگران نشان دادند می‌شود آدرس github.com/login را روی یک فرم ورود جعلی نمایش داد و فهرست تب‌های عامل هم همان آدرس را تکرار می‌کرد. یعنی هم کاربر و هم خود دستیار هوش مصنوعی فریب می‌خوردند.
خبر خوب اینکه این مشکل در نسخه‌ی ۱٫۱٫۲۹ کوپایلوت در ۱۳ اکتبر رفع شد؛ آن هم پیش از اینکه Forever Security گزارش رسمی ثبت کند. پس اگر از کوپایلوت استفاده می‌کنید، مطمئن شوید نسخه‌ی شما از این عدد پایین‌تر نباشد.
۵. Codex و VS Code و Claude Desktop؛ سرقت فایل با یک صفحه‌ی HTML
جدی‌ترین بخش گزارش به سه محصول مربوط است که فایل‌های محلی را می‌توانند از مرز پروژه بیرون بکشند. در ویژوال استودیو کد و Claude Desktop، صفحه‌های محلی فقط به پوشه‌ی پروژه محدود شده‌اند، اما بررسی روی خود صفحه انجام می‌شود و یک وب‌ورکر، یعنی اسکریپت پس‌زمینه‌ای که صفحه می‌تواند راه بیندازد، بیرون از این بررسی قرار می‌گیرد و می‌تواند هر فایلی را بخواند.
در Codex اوضاع ساده‌تر و بدتر بود، چون اصلاً محدودیت پوشه برای فایل‌های محلی وجود نداشت. پژوهشگران با خواندن فایل‌های نمایه‌ی Finder در مک، دیسک را پوشه‌به‌پوشه نقشه‌برداری کردند. در دستگاه آزمایشی، این جاروکردن کلیدهای SSH، فایل‌های env، توکن‌های npm و فایل hosts را جمع کرد و بیرون فرستاد.
شرکت Forever Security برآورد می‌کند که بیش از ۴۰ میلیون توسعه‌دهنده از ویژوال استودیو کد و بیش از ۵ میلیون کاربر هفتگی از Codex استفاده می‌کنند، بنابراین سطح اثر این یافته‌ها بزرگ است. البته این عدد برآورد خود شرکت پژوهشگر است، نه آمار رسمی سازنده‌ها.
۶. حمله چطور پیش می‌رود؟
سناریوی توصیف‌شده بسیار عادی به نظر می‌رسد. مهاجم پروژه‌ای می‌سازد که ظاهرش مثلاً یک گزارش مالی است. توسعه‌دهنده از دستیار هوش مصنوعی می‌خواهد پروژه را طبق فایل README راه‌اندازی کند. دستیار لینک قابل‌کلیکی به یک فایل HTML داخل پروژه می‌دهد و همین یک کلیک کافی است. بعد از آن چیز قابل‌مشاهده‌ای رخ نمی‌دهد و کاربر متوجه سرقت نمی‌شود.
نکته‌ی مهم اینجاست که کلیکِ لازم برای حمله، روی لینکی است که خود دستیار می‌سازد. یعنی کاربر به ابزار خودش اعتماد کرده و همین اعتماد، حلقه‌ی ضعیف زنجیره است.
۷. واکنش شرکت‌ها و وضعیت وصله‌ها
وضعیت تا ۲۹ اکتبر به این صورت است. Cursor و کوپایلوت وصله شده‌اند. Codex از گزارش ۲۷ جولای تا امروز بی‌وصله مانده و طبق گفته‌ی پژوهشگران پاسخی از OpenAI نگرفته‌اند. ویژوال استودیو کد هم وصله نشده و مایکروسافت گزارش را با استناد به قابلیت Workspace Trust نپذیرفته است.
درباره‌ی Claude Desktop، طبق گزارش، شرکت Anthropic گزارش ۲۳ جولای Forever Security را نپذیرفت، اما گزارش ۲۴ جولای شرکت Noma Security را معتبر دانست. مقاله‌های منتشرشده نمی‌گویند این مورد وصله شده یا نه، پس بهتر است وضعیت آن را مستقیماً از منابع رسمی Anthropic دنبال کنید.
گال وایزمن درباره‌ی Workspace Trust انتقاد تندی دارد و می‌گوید آن پرسش «هیچ حفاظتی برای کاربر ایجاد نمی‌کند»، چون برای استفاده از ابزار عملاً باید به پروژه اعتماد کرد. اگر به مبحث امنیت و محدودیت‌های هوش مصنوعی علاقه دارید، مطلب پتانسیل و محدودیت‌های واقعی هوش مصنوعی را هم ببینید.
۸. اگر برنامه‌نویس هستید، حالا چه کنید؟
توصیه‌ها ساده‌اند، اما باید جدی گرفته شوند. اول، ابزارهایتان را به‌روز کنید؛ نسخه‌ی کوپایلوت ۱٫۱٫۲۹ یا بالاتر و آخرین نسخه‌ی Cursor. دوم، پروژه‌های ناشناس را در این ابزارها باز نکنید و به‌خصوص از دستیار نخواهید پروژه‌ای را که از منبع نامطمئن آمده «راه‌اندازی» کند. سوم، قبل از کلیک روی لینک‌هایی که خود دستیار می‌دهد، ببینید به چه فایلی اشاره دارند.
چهارم، کلیدهای SSH و توکن‌های بلندمدت را در مسیرهای قابل‌خواندن نگه ندارید یا دسترسی آن‌ها را محدود کنید. پنجم، فرض را بر این بگذارید که عامل‌ها ممکن است محافظ‌های خودشان را دور بزنند؛ همان چیزی که در Cursor با خاموش‌کردن سندباکس دیده شد. اگر تیم یا سازمانی دارید، فهرست ابزارهای هوش مصنوعی روی سیستم‌های توسعه‌دهندگان را تهیه کنید و تنظیمات مرورگر توکار آن‌ها را بازبینی کنید. پژوهشگران به تیم‌های Codex و ویژوال استودیو کد هم پیشنهاد داده‌اند فهرست پروژه‌های مورد اعتماد را از فایل پیکربندی هر دستگاه بیرون بکشند و فایل‌های HTML داخل آن‌ها را از نظر الگوی حمله بررسی کنند.
برای کسانی که تازه با دستیارهای هوش مصنوعی کار می‌کنند، یادگیری نحوه‌ی درست دستوردادن هم کمک می‌کند. راهنمای نوشتن پرامپت برای مبتدی‌ها و بخش آموزش‌های ChatGPT را ببینید.
۹. چرا این خبر فراتر از پنج محصول است؟
ابزارهای هوش مصنوعی هر روز اختیار بیشتری می‌گیرند: فایل می‌خوانند، فرمان اجرا می‌کنند و در وب می‌گردند. هر قابلیت تازه یعنی یک مرز امنیتی تازه که باید دقیق طراحی شود. EMBRACE نشان می‌دهد وقتی یک مرورگر برای راحتی عامل کمی باز می‌شود، سه قاعده‌ی قدیمی امنیت وب ممکن است بی‌صدا از بین بروند. این ماجرا مثال خوبی است از اینکه چرا مهندسی واقعی و نگاه امنیتی هنوز جایگزین ندارد.
از طرف دیگر، سازمان‌هایی که هوش مصنوعی را وارد کسب‌وکار می‌کنند باید ریسک امنیتی را هم در محاسبه بگذارند. مطلب اهمیت هوش مصنوعی در کسب‌وکار نگاه کلی‌تری به این موضوع دارد. برای آشنایی با شرکتی که یکی از این ابزارها را ساخته هم می‌توانید OpenAI چیست؟ را بخوانید و برای مقایسه‌ی مدل‌ها سراغ رقابت ChatGPT و دیپ‌سیک بروید. آخرین خبرها هم در بخش اخبار سایت منتشر می‌شود.
۱۰. پرسش‌های پرتکرار
آیا هر کاربر ساده‌ی ChatGPT یا Claude در خطر است؟
نه لزوماً. این یافته‌ها درباره‌ی نسخه‌های دسکتاپ و ابزارهای کدنویسی است که مرورگر داخلی دارند و به فایل‌های محلی دسترسی می‌گیرند. کاربری که فقط در مرورگر یا اپ موبایل چت می‌کند، با این سناریو روبه‌رو نیست.
آیا حمله به‌صورت خودکار و بدون کلیک انجام می‌شود؟
بر اساس گزارش، در سناریوی سرقت فایل یک کلیک روی لینک ساخته‌شده توسط دستیار لازم است. در Cursor هم تأیید اجرای فرمان یک فشردن کلید بود و موفقیتش به رفتار مدل بستگی داشت.
کدام ابزارها هنوز وصله نشده‌اند؟
تا ۲۹ اکتبر ۲۰۲۶، Codex و ویژوال استودیو کد بی‌وصله گزارش شده‌اند. وضعیت Claude Desktop در منابع بررسی‌شده روشن نیست و باید از اطلاعیه‌های رسمی پیگیری شود. وضعیت ممکن است در روزهای بعد تغییر کند.
آیا این آسیب‌پذیری‌ها شناسه‌ی CVE دارند؟
در منابعی که دیدیم شناسه‌ی CVE ذکر نشده است.
