OpenAI Codex açığını düzeltti; npm yetkilerine uzanan saldırı zinciri yeniden canlandırıldı

OpenAI’nin Codex otomatik sınıflandırma işinden başlayıp npm’de paket yayımlama yetkilerine ulaşabilecek bir saldırı yolu araştırmacılar tarafından yeniden canlandırıldı. Zincirde birden fazla otomasyon işi ve sorumlu kişinin bir sürümü silmesi yer aldı.

Güvenlik şirketi Depi, 11 Kasım’da yayımladığı teknik raporda başlangıç noktası olarak GitHub Issues’ı otomatik sınıflandıran bir işi gösterdi. Yeni bir sorun kaydı açıldığında Codex, başlığı ve açıklamayı okuyarak uygun etiketleri önerecek şekilde tasarlanmıştı.

Araştırmacılar, dışarıdan bir kullanıcının sorun kaydı açarak bu otomatik işi çalıştırabildiğini belirtti. Risk, sınıflandırılacak kaydın açıklamasının Codex’e bir görev talimatı gibi aktarılabilmesinden kaynaklanıyordu.

Araştırmacılar, açıklamaya otomatik sınıflandırma talimatı gibi görünen ifadeler ekleyerek Codex’i tanılama komutları çalıştırmaya yönlendirdi. Komutta kullanılan kod sıkıştırılmış ve kodlanmıştı. Yapay zekânın davranışını dış kaynakta gizlenmiş talimatlarla değiştiren “prompt injection” tekniğinden yararlanıldı.

Komut ilk aşamada Codex’in yalıtılmış çalışma ortamında çalıştı. Bu ortamda ağ bağlantısı engelleniyor, dosya yazma yetkisi ise sınırlandırılıyordu.

Ancak araştırmacılar, GitHub çalıştırıcısının tanılama kanalının geçici bir dizinde görünür olmasından yararlandı. Böylece çalıştırıcı sürecinin belleğinde otomasyon işi için kullanılan bir belirteci bulup iş çıktısına aktarma yolunu yeniden canlandırdı. Hedef alınan, Codex kullanıcısının parolası değil, otomasyon işinin erişim yetkisiydi.

Rapora göre bu yetkiyle GitHub iş önbelleğine kötü amaçlı bir dosya eklemek mümkün olabilirdi. Başka bir iş önbelleği geri yükledikten sonra dosyayı çalıştırırsa, daha geniş yetkilere sahip bir otomasyon işi etkilenebilirdi.

Raporda ayrıca sahte bir Codex sürümü oluşturulduktan sonra sorumlunun bu sürümü silmesiyle tetiklenen bir olay üzerinden npm’de yayın yapmak için gereken kimlik doğrulama bilgilerine ulaşma adımı da anlatıldı. Tek bir herkese açık sorun kaydı, kötü amaçlı bir paketin doğrudan yayımlanmasına yol açmıyordu; zincir birden fazla otomasyon işiyle sorumlunun sürümü silmesini içeriyordu.

npm’nin “Trusted Publishing” (Güvenilir Yayınlama) özelliği, GitHub gibi otomasyon işlerinin uzun süre saklanan yayınlama belirteçleri kullanmadan kimlik doğrulaması yaparak paket yayımlamasını sağlıyor. İşleyişin ayrıntıları npm’nin resmî belgelerinde yer alıyor. Araştırmacıların ortaya koyduğu yol, bu yayınlama aşamasına ulaşmadan önce otomasyon işlerinin yetkilerinin zincirleme biçimde açığa çıkabileceğini gösteriyor.

JavaScript yazılım paketlerinin dağıtıldığı npm’de yayınlama yetkisi elde eden bir saldırgan, geliştiricilerin normal güncelleme olarak gördüğü bir pakete kötü amaçlı kod ekleyebilir. Ancak Depi’nin raporunda kötü amaçlı bir Codex sürümünün npm’de gerçekten yayımlandığı ve kullanıcılara ulaştığı belirtilmiyor. Depi, sorunu hata ödülü programı üzerinden bildirdiğini ve OpenAI’nin temel açığı düzelttiğini aktardı. Codex’in herkese açık sorun sınıflandırma yapılandırmasında çalışma alanını salt okunur olarak kısıtlayan bir ayar bulunuyor.