Risolta una falla in Writer AI che poteva esporre i token di sessione tramite i link di anteprima degli agenti

I ricercatori hanno divulgato una vulnerabilità ora risolta in Writer, una piattaforma aziendale di IA generativa, che avrebbe potuto consentire agli aggressori di superare i confini tra tenant e assumere il controllo degli account degli utenti con il solo link di anteprima condiviso.

Il problema, tracciato da Sand Security con il nome WriteOut, interessava la funzionalità di anteprima degli agenti live di Writer. Secondo i ricercatori, un aggressore poteva creare un agente nel proprio account, pubblicarne un’anteprima e attendere che una vittima autenticata aprisse il link. Se la vittima aveva già effettuato l’accesso a Writer, il suo browser poteva inviare le informazioni di sessione nell’ambiente di anteprima.

Una volta accaduto ciò, il codice eseguito all’interno della sandbox controllata dall’aggressore poteva recuperare il token di sessione inoltrato e inviarlo all’aggressore. Riutilizzando il token, l’aggressore avrebbe quindi potuto agire in Writer a nome della vittima, accedendo potenzialmente a chat private, documenti, impostazioni degli agenti, connettori, credenziali dei modelli e altri dati sensibili.

Perché la falla era importante

Sand Security ha affermato che la vulnerabilità era particolarmente grave perché aggressore e vittima non dovevano necessariamente appartenere alla stessa organizzazione. In alcuni casi, l’account compromesso avrebbe potuto appartenere anche a un amministratore, a seconda delle autorizzazioni della vittima. I ricercatori hanno descritto il problema come una violazione dell’isolamento tra tenant nel flusso di anteprima della piattaforma.

• Gli aggressori potevano attivare il problema tramite un link di anteprima pubblico.
• La vittima non doveva installare nulla né inserire credenziali.
• I token di sessione potevano essere riutilizzati per accedere ai dati privati di Workspace.
• La falla poteva interessare aziende separate, non soltanto utenti dello stesso tenant.

L’azienda ha dichiarato di aver risolto il problema impedendo che i cookie di sessione venissero passati alle anteprime nella sandbox e spostando le anteprime su un’origine isolata.

Sand Security ha inoltre osservato che le misure di sicurezza esistenti non erano sufficienti a bloccare l’attacco. I controlli sugli input erano progettati per impedire prompt evidentemente dannosi o l’accesso alle variabili d’ambiente, ma i ricercatori hanno aggirato tali controlli ordinando all’agente di recuperare ed eseguire codice da una posizione remota, invece di inserire direttamente l’exploit nel prompt.

La divulgazione si aggiunge alle crescenti preoccupazioni sui rischi per la sicurezza delle piattaforme basate su agenti di IA, dove le funzionalità di anteprima e sandbox possono diventare un vettore per il furto di token se l’isolamento non viene applicato correttamente.