Une faille corrigée dans Writer AI pouvait exposer des jetons de session via des liens d’aperçu d’agents

Des chercheurs ont divulgué une vulnérabilité désormais corrigée dans Writer, une plateforme d’IA générative destinée aux entreprises, qui aurait pu permettre à des attaquants de franchir les frontières entre locataires et de prendre le contrôle de comptes utilisateurs avec seulement un lien d’aperçu partagé.

Le problème, identifié par Sand Security sous le nom de WriteOut, concernait la fonctionnalité d’aperçu en direct des agents de Writer. Selon les chercheurs, un attaquant pouvait créer un agent dans son propre compte, publier un aperçu, puis attendre qu’une victime connectée ouvre le lien. Si la victime était déjà authentifiée auprès de Writer, son navigateur pouvait transmettre des informations de session à l’environnement d’aperçu.

Une fois cette étape franchie, le code exécuté dans le bac à sable contrôlé par l’attaquant pouvait récupérer le jeton de session transmis et le renvoyer à l’attaquant. La réutilisation de ce jeton permettait alors à l’attaquant d’agir dans Writer comme s’il était la victime, avec la possibilité de consulter des conversations privées, des documents, des paramètres d’agents, des connecteurs, des identifiants de modèles et d’autres données sensibles.

Pourquoi cette faille était importante

Sand Security a indiqué que cette faiblesse était particulièrement grave, car l’attaquant et la victime n’avaient pas besoin d’appartenir à la même organisation. Dans certains cas, le compte compromis pouvait même être celui d’un administrateur, selon les autorisations de la victime. Les chercheurs ont décrit le problème comme une défaillance de l’isolation entre locataires dans le flux d’aperçu de la plateforme.

• Les attaquants pouvaient déclencher le problème au moyen d’un lien d’aperçu public.
• La victime n’avait besoin d’installer aucun élément ni de saisir ses identifiants.
• Les jetons de session pouvaient être réutilisés pour accéder aux données privées de Workspace.
• La faille pouvait toucher des entreprises distinctes, et pas uniquement des utilisateurs au sein d’un même locataire.

L’entreprise a déclaré avoir depuis résolu le problème en empêchant la transmission des cookies de session aux aperçus exécutés dans le bac à sable et en déplaçant les aperçus vers une origine isolée.

Sand Security a également souligné que les mesures de protection existantes ne suffisaient pas à bloquer l’attaque. Les contrôles des entrées visaient à empêcher les invites manifestement malveillantes ou l’accès aux variables d’environnement, mais les chercheurs ont contourné ces contrôles en demandant à l’agent de récupérer et d’exécuter du code depuis un emplacement distant au lieu d’intégrer directement l’exploit dans l’invite.

Cette divulgation vient alimenter les inquiétudes croissantes concernant les risques de sécurité des plateformes d’agents d’IA, où les fonctionnalités d’aperçu et de bac à sable peuvent devenir un vecteur de vol de jetons si l’isolation n’est pas correctement appliquée.