Lỗ hổng trong 5 công cụ AI lập trình: OpenAI và Microsoft vẫn chưa vá

Các nhà nghiên cứu bảo mật vừa phát hiện lỗ hổng trong 5 công cụ AI hỗ trợ lập trình phổ biến, cho phép kẻ tấn công thực thi mã trên máy chủ, đọc và đánh cắp tệp tin hoặc giả mạo thanh địa chỉ trình duyệt.

Đáng lo ngại hơn, lỗi trong Codex của OpenAI và VS Code của Microsoft được cho là vẫn chưa được vá, tiềm ẩn rủi ro cho các lập trình viên sử dụng những công cụ này.

Năm công cụ, một điểm chung

Công ty khởi nghiệp bảo mật AI Forever Security đã phát hiện lỗ hổng trong Cursor, GitHub Copilot, Claude Desktop của Anthropic, VS Code và Codex. Bốn trong số đó được báo cáo cho nhà cung cấp, riêng GitHub tự khắc phục lỗi Copilot mà không cần nhận báo cáo từ Forever.

Cả 5 công cụ đều mắc chung một điểm yếu: trình duyệt nhúng được cấp những quyền năng vượt xa trình duyệt thông thường.

Mỗi công cụ đều "làm giàu" trình duyệt nhúng của mình vượt quá giới hạn của một trình duyệt bình thường, và chính những phần mở rộng đó đã phá vỡ mô hình mối đe dọa truyền thống — dù ở vai trò đầu vào của tác tử, bên có thẩm quyền xác định địa chỉ của tab, hay khả năng vươn tới máy chủ.

Nhóm nghiên cứu gọi nhóm lỗ hổng này là "Embrace" (viết tắt của EMbedded BRowser, tức trình duyệt nhúng). Hậu quả gồm: thực thi mã tùy ý trong Cursor, đánh cắp dữ liệu trong Claude Desktop, Codex và VS Code, cùng việc giả mạo thanh địa chỉ trong GitHub Copilot.

Cursor: thực thi mã tùy ý

Thông thường, trang web không thể chạy lệnh trên máy chủ vì JavaScript của trang không giao tiếp được với ứng dụng cục bộ. Nhưng trình duyệt tích hợp của Cursor lại cho phép một trang web gọi tới composer của tác tử. Tác tử hiểu nội dung đó là chỉ thị và thực thi, trong khi người dùng không hề nhìn thấy.

Điều này mở đường cho tấn công chèn lệnh (prompt injection), cho phép kẻ tấn công thực thi lệnh trên máy của nạn nhân.

Forever báo cáo lỗi cho Cursor ngày 10/9, và nhà cung cấp âm thầm vá vào ngày 1/10 mà không công bố khuyến cáo bảo mật hay phản hồi nhóm nghiên cứu.

GitHub Copilot: giả mạo thanh địa chỉ

Trong trình duyệt thông thường, trang web không thể thay đổi nội dung thanh địa chỉ. Nhưng trình duyệt xem trước của Copilot hoạt động khác: một số trang thay đổi địa chỉ mà không tải lại trang, khiến ứng dụng không nhận ra. Kết quả là Copilot để chính trang web tự khai báo địa chỉ của nó.

Ứng dụng chỉ kiểm tra xem chuỗi văn bản có giống một địa chỉ web hay không (bắt đầu bằng http, https hoặc file), mà không xác minh tab thực sự trỏ tới đâu. Lỗi này có thể bị lợi dụng để hiển thị URL giả như github.com/login trên thanh địa chỉ, trong khi thực chất đang tải một trang lừa đảo bên dưới.

Lỗ hổng được phát hiện trên GitHub Copilot 1.1.27 ngày 26/9. GitHub đã tự khắc phục trong bản Copilot 1.1.29 ngày 13/10 mà không nhận được báo cáo nào từ Forever.

Claude Desktop, Codex và VS Code: đọc tệp tùy ý

Cả ba trợ lý lập trình này đều cho phép tệp HTML cục bộ mở trong trình duyệt tích hợp vượt khỏi giới hạn để truy cập các tệp khác.

Claude Desktop và VS Code giới hạn tệp cục bộ chỉ được truy cập thư mục dự án tương ứng, nhưng nhóm nghiên cứu phát hiện các giới hạn này không áp dụng cho web worker — tính năng trình duyệt cho phép JavaScript chạy trên luồng nền. Nhờ vậy, một trang cục bộ có thể khởi tạo worker để vượt rào và chạm tới bất kỳ tệp nào trên máy.

Riêng Codex còn không có giới hạn này, nghĩa là trang cục bộ có thể đọc thẳng mọi tệp mà không cần worker.

Phản ứng trái chiều từ các nhà cung cấp

Diễn biến cho thấy sự thiếu nhất quán trong cách xử lý lỗi giữa các hãng:

• Forever báo cáo lỗi Claude Desktop cho Anthropic ngày 23/7, nhưng bị từ chối vì cho rằng đây là vấn đề nằm ngoài ranh giới tin cậy của workspace. Một ngày sau, hãng bảo mật Noma Security báo cáo đúng lỗi đó và Anthropic chấp nhận là hợp lệ.
• Lỗi Codex được báo cho OpenAI ngày 27/7, không nhận được phản hồi và vẫn chưa được vá.
• Lỗi VS Code được báo cho Microsoft ngày 10/9, cũng bị gắn nhãn vấn đề ranh giới tin cậy workspace, và theo nhóm nghiên cứu vẫn chưa được khắc phục.

Ý nghĩa với lập trình viên

Đối với các lập trình viên Việt Nam đang ngày càng sử dụng công cụ AI để hỗ trợ code, sự cố này là lời nhắc nhở quan trọng:

• Không mở tệp HTML lạ trong trình duyệt tích hợp của các công cụ AI lập trình.
• Cảnh giác với prompt injection — nội dung từ trang web hay tệp tin có thể được tác tử AI hiểu thành chỉ thị thực thi.
• Cập nhật công cụ thường xuyên, nhất là khi nhà cung cấp phát hành bản vá lặng lẽ.
• Hạn chế cấp quyền rộng cho tác tử AI nếu không thực sự cần thiết.

Vụ việc này cho thấy một bài học lớn: khi các công cụ AI được cấp thêm quyền để phục vụ trải nghiệm người dùng, chính những quyền năng đó lại trở thành bề mặt tấn công mới — và việc xử lý phản hồi bảo mật thiếu minh bạch của các ông lớn công nghệ vẫn là vấn đề đáng bàn.