Behobene Writer-AI-Schwachstelle konnte Sitzungstoken über Agenten-Vorschaulinks offenlegen

Forscher haben eine inzwischen behobene Schwachstelle in Writer, einer generativen KI-Plattform für Unternehmen, offengelegt. Sie hätte Angreifern ermöglichen können, Mandantengrenzen zu überschreiten und Benutzerkonten allein über einen geteilten Vorschaulink zu übernehmen.

Das von Sand Security als WriteOut bezeichnete Problem betraf die Live-Agentenvorschaufunktion von Writer. Nach Angaben der Forscher konnte ein Angreifer in seinem eigenen Konto einen Agenten erstellen, eine Vorschau veröffentlichen und darauf warten, dass ein angemeldetes Opfer den Link öffnete. Wenn das Opfer bereits bei Writer authentifiziert war, konnte sein Browser Sitzungsinformationen an die Vorschauumgebung senden.

Sobald dies geschah, konnte der in der vom Angreifer kontrollierten Sandbox ausgeführte Code das weitergeleitete Sitzungstoken abrufen und an den Angreifer zurücksenden. Durch die erneute Verwendung des Tokens konnte der Angreifer anschließend in Writer als das Opfer agieren und möglicherweise private Chats, Dokumente, Agenteneinstellungen, Konnektoren, Anmeldedaten für Modelle und andere sensible Daten lesen.

Warum die Schwachstelle gravierend war

Sand Security erklärte, dass die Schwachstelle besonders schwerwiegend war, weil Angreifer und Opfer nicht derselben Organisation angehören mussten. In einigen Fällen konnte das kompromittierte Konto je nach den Berechtigungen des Opfers sogar einem Administrator gehören. Die Forscher beschrieben das Problem als einen Fehler bei der Mandantentrennung im Vorschauprozess der Plattform.

• Angreifer konnten das Problem über einen öffentlichen Vorschaulink auslösen.
• Das Opfer musste nichts installieren und keine Anmeldedaten eingeben.
• Sitzungstoken konnten wiederverwendet werden, um auf private Workspace-Daten zuzugreifen.
• Die Schwachstelle konnte separate Unternehmen betreffen, nicht nur Benutzer innerhalb eines Mandanten.

Das Unternehmen erklärte, Writer habe das Problem inzwischen behoben, indem Sitzungscookies nicht mehr an Sandbox-Vorschauen weitergegeben werden und Vorschauen auf einen isolierten Ursprung verschoben wurden.

Sand Security wies außerdem darauf hin, dass vorhandene Schutzmaßnahmen nicht ausreichten, um den Angriff zu verhindern. Die Eingabeprüfungen sollten offensichtlich bösartige Prompts oder den Zugriff auf Umgebungsvariablen blockieren. Die Forscher umgingen diese Kontrollen jedoch, indem sie den Agenten anwiesen, Code von einem entfernten Ort abzurufen und auszuführen, anstatt den Exploit direkt im Prompt zu platzieren.

Die Offenlegung reiht sich in die wachsenden Bedenken hinsichtlich der Sicherheitsrisiken von KI-Agentenplattformen ein, bei denen Vorschau- und Sandbox-Funktionen zu einem Weg für den Diebstahl von Tokens werden können, wenn die Isolation nicht ordnungsgemäß durchgesetzt wird.