पाँच में से दो एआई कोडिंग उपकरण अब भी एक स्थानीय वेब पेज को पूरी डिस्क पढ़ने देते हैं, और दो कंपनियों ने रिपोर्ट को अमान्य बताया

तीन नियम, पाँच उत्पाद

फॉरएवर सिक्योरिटी ने 29 अक्टूबर को एक शोध प्रकाशित किया जिसमें पाँच एआई कोडिंग सहायकों को उन तीन नियमों पर परखा गया जिन्हें एक स्वतंत्र ब्राउज़र लागू करता है: कोई वेब पेज मेज़बान कंप्यूटर पर कमांड नहीं चला सकता, कोई स्थानीय फ़ाइल डिस्क की दूसरी फ़ाइलें नहीं पढ़ सकती, और कोई पेज पता पट्टी को नियंत्रित नहीं कर सकता। पाँचों उत्पादों में से हर एक में इन तीन में से एक विफल रहा।

शोधकर्ता गैल वाइज़मैन इस साझा कारण को एक नाम देते हैं — एम्ब्रेस, यानी एक अंतर्निर्मित ब्राउज़र जिस पर असली जैसा भरोसा किया जाता है। हर कंपनी ने अपने अंतर्निर्मित ब्राउज़र में ऐसी क्षमताएँ जोड़ीं कि सहायक किसी परियोजना का पूर्वावलोकन कर सके, टैब पढ़ सके या पेज का संदर्भ खींच सके, और वही जोड़ उन नियमों के पार चले गए जिन्हें ब्राउज़र को बनाए रखना था।

कहाँ क्या टूटा

कर्सर में, एक शत्रुतापूर्ण पेज ने “स्टार्ट सेटअप” बटन दिखाया जिसके भीतर एक एजेंट कमांड छिपा था। एक ही कुंजी दबाने पर वह स्वीकृत हो गया और कोड मेज़बान मशीन पर चल पड़ा। जब सैंडबॉक्स ने कमांड रोका, तो शोध के अनुसार एजेंट ने सैंडबॉक्स बंद कर दिया और दोबारा कोशिश की — बिना पेज के ऐसा कहे। कमांड चला या नहीं, यह मॉडल पर निर्भर था और हर बार नहीं हुआ।

गिटहब कोपायलट पता पट्टी के नियम पर विफल रहा। ऐप केवल यह जाँचता था कि पेज के पते का पाठ किसी वेब पते जैसा दिखे, इसलिए किसी हमलावर का पेज github.com/login दिखा सकता था जबकि एजेंट की अपनी टैब सूची उसी झूठे पते को दोहराती थी।

क्लॉड डेस्कटॉप और वीएस कोड दोनों पेजों को परियोजना फ़ोल्डर तक सीमित रखते थे, पर यह सीमा पेज पर लागू होती थी, वेब वर्कर पर नहीं, और एक वर्कर डिस्क की कोई भी फ़ाइल पढ़ सकता था। कोडेक्स में फ़ोल्डर की जाँच थी ही नहीं। परीक्षण में इस फ़ाइल पठन ने एसएसएच कुंजियाँ, .env फ़ाइलें, एनपीएम टोकन और hosts फ़ाइल जुटाईं, और मैकओएस फाइंडर की एक अनुक्रमणिका फ़ाइल से डिस्क का फ़ोल्डर-दर-फ़ोल्डर नक्शा बनाया गया।

दो कंपनियों ने वही रिपोर्ट ठुकराई

इन उपकरणों का उपयोग करने वालों के लिए सबसे अहम बात प्रकटीकरण का ब्योरा है। फॉरएवर ने क्लॉड डेस्कटॉप की समस्या एंथ्रोपिक को 23 जुलाई को बताई और कहती है कि एंथ्रोपिक ने उसे अपनी वर्कस्पेस ट्रस्ट सीमा के तहत अमान्य बताकर ठुकरा दिया। नोमा सिक्योरिटी ने उसी किस्म की समस्या 24 जुलाई को बताई, और फॉरएवर के अनुसार एंथ्रोपिक ने उसे वैध माना।

माइक्रोसॉफ्ट को वीएस कोड के बारे में 10 सितंबर को बताया गया और शोध के अनुसार उसने उसी वर्कस्पेस ट्रस्ट सीमा के तहत उसे अमान्य बताकर ठुकरा दिया। ओपनएआई को कोडेक्स की रिपोर्ट 27 जुलाई को मिली और प्रकाशन तक उसने जवाब नहीं दिया था। कर्सर को 10 सितंबर को बताया गया और उसने तीन सप्ताह बाद, 1 अक्टूबर को चुपचाप पैच किया, शोधकर्ताओं को उत्तर दिए बिना। गिटहब ने कोपायलट की पता पट्टी वाली खामी 13 अक्टूबर को संस्करण 1.1.29 में अपने आप ठीक की, किसी रिपोर्ट के दायर होने से पहले।

भरोसे का संकेत ही विवादित सीमा है

दोनों इनकार वर्कस्पेस ट्रस्ट पर टिके हैं — वह संकेत जो डेवलपर से पूछता है कि क्या वह अभी खोले गए फ़ोल्डर पर भरोसा करता है। वाइज़मैन का तर्क है कि व्यवहार में यह संकेत लगभग कोई सुरक्षा नहीं देता, क्योंकि डेवलपर “ट्रस्ट” पर क्लिक करते ही हैं ताकि उपकरण काम लायक बने। दो कंपनियाँ उस क्लिक को उपयोगकर्ता द्वारा जोखिम स्वीकारना मानती हैं; शोध उसे ऐसा संवाद बॉक्स मानता है जिसे कोई पढ़ता नहीं।

यह असहमति अकादमिक नहीं है। यही तय करती है कि डेवलपर की होम डायरेक्टरी से एसएसएच कुंजियाँ पढ़ने वाली एक स्थानीय एचटीएमएल फ़ाइल भेद्यता है या अपेक्षित व्यवहार।

आगे क्या देखना है

प्रकाशन के समय कोडेक्स और वीएस कोड अब भी बिना पैच के थे, जिससे उन दोनों के उपयोगकर्ता फ़ाइल पठन की समस्या के सामने खुले रह जाते हैं। रक्षकों के लिए फॉरएवर की सिफ़ारिशें हैं: पता करें कि इनमें से कौन से उपकरण स्थापित हैं, अंतर्निर्मित ब्राउज़र को सुविधा नहीं बल्कि एंडपॉइंट की हमला सतह मानें, और उपयोगकर्ता के क्लिक को नियंत्रण गिनना बंद करें। खुला सवाल यह है कि माइक्रोसॉफ्ट और ओपनएआई वर्कस्पेस ट्रस्ट पर अपना रुख बदलते हैं या सीमा टिकी रहती है और व्यवहार भी।