Недавние исследования показали, что более 30 уязвимостей в AI-ориентированных интегрированных средах разработки (IDE) могут быть использованы для кражи данных и удаленного выполнения кода. Эти уязвимости, собранные под названием IDEsaster, затрагивают такие популярные инструменты, как Cursor, GitHub Copilot и Kiro.dev. Из них 24 уязвимости уже получили идентификаторы CVE.
Исследователь, который раскрыл эти уязвимости, отметил, что наиболее удивительным является тот факт, что все протестированные AI IDE подвержены универсальным цепочкам атак. Все они игнорируют базовое программное обеспечение в своей модели угроз, считая свои функции безопасными. Однако, когда в систему внедряются AI-агенты, эти же функции могут быть использованы для злонамеренных действий.
Основные векторы атак включают в себя:
1. Обход защитных механизмов языковых моделей для захвата контекста и выполнения действий по указанию злоумышленника (так называемая инъекция команд).
2. Выполнение действий без взаимодействия с пользователем через автоматические вызовы инструментов AI-агента.
3. Активация легитимных функций IDE, что позволяет злоумышленнику выйти за пределы безопасности и получить доступ к конфиденциальным данным или выполнить произвольные команды.
Некоторые примеры атак, основанных на новой цепочке уязвимостей, включают использование инъекций команд для чтения конфиденциальных файлов и редактирования настроек IDE, что может привести к выполнению вредоносного кода.
Исследователь также предложил несколько рекомендаций для разработчиков:
- Использовать AI IDE только с доверенными проектами и файлами.
- Подключаться только к проверенным серверам Model Context Protocol (MCP) и следить за их изменениями.
- Проводить ручной аудит добавляемых источников на наличие скрытых инструкций.
С учетом растущей популярности AI-инструментов в корпоративной среде, эти находки подчеркивают, как AI расширяет поверхность атаки на разработки, что требует нового подхода к безопасности, известного как "Secure for AI". Этот принцип предполагает, что продукты должны быть безопасными по умолчанию и по дизайну, учитывая потенциальные злоупотребления AI-компонентами.