Por Canuto  

Un informe de seguridad identifica vulnerabilidades en cinco herramientas de desarrollo con IA. Los investigadores advierten que los navegadores integrados podrían permitir desde el robo de archivos hasta la ejecución de comandos. Según el equipo, los fallos de Codex de OpenAI y VS Code de Microsoft seguían sin corregirse al publicarse el informe.
***

  • Forever Security encontró vulnerabilidades en Cursor, GitHub Copilot, Claude Desktop, VS Code y Codex, con riesgos que incluyen ejecución de código, robo de archivos y suplantación de direcciones.
  • Según los investigadores, Cursor corrigió un fallo de ejecución de código y GitHub arregló por su cuenta la falla de suplantación en Copilot. Los problemas de Codex y VS Code seguían sin parche al publicarse el informe.
  • Las vulnerabilidades tienen un elemento común: navegadores integrados que conceden capacidades adicionales y que, según los investigadores, pueden debilitar los límites de seguridad de las aplicaciones.

 

Investigadores de seguridad identificaron vulnerabilidades en cinco herramientas populares de desarrollo con inteligencia artificial que, bajo ciertas condiciones, podrían facilitar el robo de archivos, la ejecución de comandos en una computadora o la suplantación de direcciones web. Los productos examinados fueron Cursor, GitHub Copilot, Claude Desktop de Anthropic, VS Code de Microsoft y Codex de OpenAI. De acuerdo con el equipo investigador, los fallos en Codex y VS Code todavía no estaban corregidos al publicarse el informe.

Forever Security, una startup especializada en seguridad de IA, atribuyó los problemas a funciones particulares de los navegadores integrados en esas aplicaciones. La empresa los agrupó bajo el nombre Embrace, por la expresión inglesa Embedded Browser, y señaló que estos componentes pueden tener acceso a capacidades que un navegador convencional no posee, lo que altera las barreras de seguridad esperadas por los usuarios.

Navegadores integrados y límites de seguridad

Los navegadores incorporados permiten que una herramienta de programación abra y procese páginas web o archivos HTML locales sin salir de su entorno de trabajo. Sin embargo, los investigadores sostienen que algunas aplicaciones ampliaron las capacidades de esos navegadores, por ejemplo al conectarlos con agentes de IA, permitirles operar sobre archivos o concederles influencia sobre la dirección que muestra una pestaña.

Gal Weizman, investigador de Forever Security, explicó en el informe que esas ampliaciones debilitaron supuestos de seguridad tradicionales. Una página web común no debería poder ordenar acciones en el equipo anfitrión ni decidir qué dirección muestra la interfaz, pero las funciones añadidas pueden crear puentes entre el contenido abierto y otros componentes de la aplicación.

La preocupación es relevante porque un agente de programación interpreta instrucciones y puede interactuar con herramientas locales, mientras que el usuario quizá no vea con claridad de dónde proceden esas instrucciones. Si una página controlada por un atacante logra influir en el agente o en el navegador integrado, el problema deja de limitarse a mostrar contenido engañoso y puede alcanzar funciones con impacto en el dispositivo.

El informe no presenta una vulnerabilidad idéntica en los cinco productos: describe fallos distintos que comparten un elemento de diseño. En Cursor, el riesgo señalado fue la ejecución de código; en Copilot, la falsificación de la barra de direcciones; y en Claude Desktop, Codex y VS Code, el acceso a archivos locales, aunque mediante mecanismos diferentes.

Cursor y Copilot: comandos y direcciones engañosas

En Cursor, el navegador integrado permitía que una página web llamara al compositor del agente de codificación, según la investigación. El agente podía interpretar el contenido recibido como instrucciones y seguirlas, aunque esas instrucciones permanecieran ocultas para la persona usuaria; los investigadores advirtieron que esta situación podía derivar en una inyección de instrucciones y en la ejecución de comandos en el equipo anfitrión.

Forever Security comunicó el problema a Cursor el 10 de septiembre y, de acuerdo con su cronología, la empresa corrigió silenciosamente el fallo el 1 de octubre. Los investigadores afirmaron que Cursor no publicó un aviso de seguridad ni respondió a su divulgación, y el medio que reportó el caso tampoco recibió comentarios de la compañía.

El problema hallado en GitHub Copilot tenía otro efecto: una página podía inducir a la aplicación a mostrar una dirección distinta de la página realmente cargada. El equipo explicó que el navegador de vista previa no siempre detectaba ciertos cambios de dirección sin recargar la página, y que la aplicación comprobaba si el texto parecía una URL, pero no verificaba el destino real de la pestaña.

Ese comportamiento podía hacer que la interfaz mostrara una dirección legítima, como github.com/login, mientras debajo se cargaba una página fraudulenta, una combinación que podría facilitar el phishing. Los investigadores detectaron el fallo en Copilot 1.1.27 el 26 de septiembre; GitHub lo corrigió por su cuenta en la versión 1.1.29, publicada el 13 de octubre, sin recibir un informe de Forever Security.

Acceso a archivos en Claude Desktop, Codex y VS Code

Los investigadores también encontraron que archivos HTML locales abiertos en los navegadores integrados de Claude Desktop, Codex y VS Code podían acceder a otros archivos del equipo. En Claude Desktop y VS Code, las páginas locales tenían acceso limitado a las carpetas de sus proyectos, pero Forever Security afirmó que esa restricción no se aplicaba correctamente cuando el código utilizaba web workers, procesos secundarios que ejecutan JavaScript aparte del hilo principal de la página.

Según el análisis, una página local podía iniciar uno de esos procesos y aprovecharlo para superar las restricciones y alcanzar otros archivos de la máquina. Codex presentaba una diferencia: los investigadores dijeron que no tenía la misma limitación, por lo que una página local podía leer archivos directamente, sin recurrir a un web worker.

La cronología de Anthropic tuvo dos momentos. Weizman señaló que Forever Security informó a la compañía el 23 de julio sobre el problema de Claude Desktop, pero que el proveedor rechazó inicialmente el reporte al considerar que no afectaba un límite de seguridad debido a la configuración de confianza del espacio de trabajo.

El investigador afirmó que, un día después, Noma Security comunicó el mismo fallo y Anthropic aceptó ese reporte como válido. Anthropic no respondió a las preguntas del medio sobre los informes ni sobre la secuencia de acontecimientos descrita por Forever Security, por lo que la publicación no pudo contrastar directamente la versión de la empresa.

Los casos de OpenAI y Microsoft siguen sin resolverse

Forever Security comunicó a OpenAI el fallo de lectura de archivos en Codex el 27 de julio, pero sus investigadores dijeron que no recibieron respuesta y que la vulnerabilidad continuaba sin parche. OpenAI tampoco respondió a las consultas sobre el problema ni aclaró si planeaba corregirlo, según el reporte que dio a conocer la investigación.

En el caso de VS Code, los investigadores informaron a Microsoft el 10 de septiembre sobre la vulnerabilidad relacionada con archivos locales. Aseguraron que la compañía la clasificó como un asunto que no afectaba un límite de seguridad, debido a la confianza del espacio de trabajo, y sostuvieron que el fallo seguía sin corregirse al publicarse el informe; Microsoft tampoco respondió a la solicitud de comentarios.

El balance de divulgaciones distingue entre los casos que el equipo reportó directamente y el de GitHub Copilot, cuya corrección ocurrió de manera independiente. Forever Security dijo que comunicó cuatro vulnerabilidades a los proveedores involucrados, mientras que GitHub arregló la de Copilot sin recibir su reporte; Cursor también corrigió su fallo tras la divulgación, aunque los investigadores cuestionaron la falta de un aviso público.

El informe presenta riesgos potenciales, no evidencia de que los fallos hayan sido utilizados en ataques contra usuarios. Aun así, para quienes trabajan con asistentes de código, la diferencia entre una página web, un agente automatizado y el acceso a archivos locales es central: una función que parece integrada y conveniente puede ampliar las acciones que un contenido malicioso intenta provocar.

La situación descrita también muestra por qué importan tanto la corrección técnica como la comunicación de seguridad. Según los investigadores, Codex y VS Code seguían sin parche al publicarse el informe. La investigación no ofrece detalles sobre una solución ni sobre una fecha prevista para implementarla.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados