Publicação de um PoC 0-day para o popular agente de IA Goose AI

Apenas para fins informativos

Tipo de vulnerabilidade: RCE via deep link goose://recipe

Goose é um agente de IA de código aberto que roda no computador do usuário e se conecta a vários modelos de linguagem, incluindo GPT, Claude, Gemini e modelos locais via Ollama. Diferente de um chatbot comum, ele pode ler e modificar arquivos de forma independente, executar comandos e testes, e interagir com serviços externos através do MCP.

De acordo com o atacante, quando um link contendo uma configuração maliciosa é aberto, a aplicação inicia processos filhos de extensão antes que o usuário veja a janela de confirmação. Isso é possível porque a função deny_if_malicious_cmd_args usa uma abordagem “fail-open” (permitir se incerto). Se ela não reconhece o ecossistema (por exemplo, se o comando não começa com npx ou uvx), ela simplesmente registra “Unknown ecosystem” e retorna Ok(()), permitindo a execução. A allowlist GOOSE_ALLOWLIST é verificada apenas durante a instalação regular de extensões, mas é completamente ignorada ao criar uma sessão via recipe.