Piotr Ryciak

O chat de IA renderiza tags de imagem Markdown de respostas de IA, o que dispara solicitações HTTP irrestritas para URLs externas arbitrárias. Quando combinado com a injeção de prompt em um espaço de trabalho malicioso, um invasor pode forçar o agente de IA a criar URLs de imagem que codificam informações sensíveis do contexto da conversa ou do espaço de trabalho, permitindo que os dados sejam exfiltrados para servidores controlados pelo invasor.

O agente de chat de IA processa nomes de arquivos e diretórios do espaço de trabalho como parte do contexto do prompt sem distingui-los das instruções do sistema. Isso permite a injeção indireta de prompt, na qual um invasor cria um repositório malicioso com nomes adversários que forçam o agente de IA a seguir instruções controladas pelo invasor. Quando utilizado em espaços de trabalho não confiáveis, isso pode levar a cadeias de ataque resultando na execução de comandos arbitrários via definições de tarefas ou exfiltração de dados através da renderização de imagens Markdown.

Definições de tarefas personalizadas em arquivos de workspace, como `.theia/tasks.json` e `.vscode/tasks.json`, podem ser executadas sem a necessidade de confiança no workspace. Isso permite que um invasor crie um repositório malicioso que executa comandos arbitrários com os privilégios do usuário ao ser clonado e aberto. Se os recursos de chat de IA forem utilizados e o arquivo `.theia/settings.json` estiver configurado para desativar a confirmação de ferramentas, a execução pode ser disparada automaticamente por meio de uma mensagem no chat de IA.

Arquivos que correspondem ao padrão `.prompts/*.prompttemplate` em um espaço de trabalho são carregados automaticamente, permitindo que eles substituam ou estendam os prompts de sistema do agente de IA. Isso possibilita a injeção indireta de prompt, na qual um invasor cria um repositório malicioso com arquivos de modelo de prompt que substituem as instruções de sistema da IA por conteúdo controlado pelo invasor quando o espaço de trabalho é aberto. Quando combinado com outros recursos de chat de IA em espaços de trabalho não confiáveis, isso pode levar a cadeias de ataque resultando na execução de comandos arbitrários via definições de tarefas ou exfiltração de dados por meio da renderização de imagens Markdown.

Uma vulnerabilidade de tipo cross-site scripting (XSS) armazenada permite que invasores executem scripts da Web ou HTML arbitrários por meio de uma carga maliciosa injetada no campo `VLAN View Name`. Isso permite que invasores possam manipular o comportamento da aplicação da Web.