นักวิจัยจำลองเส้นทางเข้าถึงสิทธิ์เผยแพร่ npm ผ่าน Codex; OpenAI แก้ช่องโหว่หลักแล้ว

นักวิจัยจำลองเส้นทางโจมตีจากงานจัดหมวดหมู่ issue อัตโนมัติของ Codex ไปสู่การเข้าถึงสิทธิ์เผยแพร่แพ็กเกจบน npm โดยเส้นทางนี้เกี่ยวข้องกับงานอัตโนมัติหลายขั้นและการที่ผู้ดูแลลบ release

Depi บริษัทด้านความปลอดภัย เปิดเผยในรายงานทางเทคนิคเมื่อวันที่ 11 พ.ย. ว่าจุดเริ่มต้นคือ workflow สำหรับจัดหมวดหมู่ issue บน GitHub ซึ่งออกแบบให้ Codex อ่านชื่อเรื่องและเนื้อหาของ issue ใหม่ แล้วเสนอป้ายกำกับที่เหมาะสม

นักวิจัยระบุว่าบุคคลภายนอกสามารถส่ง issue เพื่อเรียกใช้ workflow นี้ได้ ประเด็นคือเนื้อหาใน issue ซึ่งเป็นข้อมูลที่ต้องจัดหมวดหมู่ อาจถูกส่งให้ Codex ตีความเสมือนเป็นคำสั่งทำงาน

นักวิจัยใส่ข้อความที่ดูคล้ายคำสั่งของ workflow ลงในเนื้อหา issue เพื่อชักนำให้ Codex เรียกใช้คำสั่งวินิจฉัย โค้ดที่ใช้ในคำสั่งถูกบีบอัดและเข้ารหัส พร้อมใช้เทคนิค prompt injection ซึ่งซ่อนคำสั่งไว้ในข้อมูลภายนอกเพื่อเปลี่ยนพฤติกรรมของ AI

ในช่วงแรก คำสั่งทำงานภายในสภาพแวดล้อมแยกของ Codex ซึ่งปิดกั้นการเชื่อมต่อเครือข่ายและจำกัดขอบเขตการเขียนไฟล์ แต่นักวิจัยอาศัยช่องทางวินิจฉัยของ GitHub runner ที่เปิดให้เข้าถึงได้ในไดเรกทอรีชั่วคราว เพื่อค้นหาโทเคนที่ workflow ใช้จากหน่วยความจำของโปรเซส แล้วส่งกลับมาในผลลัพธ์ของงาน เป้าหมายคือสิทธิ์เข้าถึงของ workflow อัตโนมัติ ไม่ใช่รหัสผ่านของผู้ใช้ Codex

นักวิจัยอธิบายว่าสิทธิ์ดังกล่าวอาจใช้แทรกไฟล์อันตรายลงในแคชงานของ GitHub ได้ หาก workflow อื่นกู้คืนแคชแล้วเรียกใช้ไฟล์นั้น ก็อาจส่งผลต่อ workflow ที่มีสิทธิ์กว้างกว่า

รายงานยังระบุขั้นตอนที่ใช้ release Codex ปลอม แล้วอาศัยเหตุการณ์ที่เกิดขึ้นเมื่อผู้ดูแลลบ release ดังกล่าวเพื่อให้ได้ข้อมูลยืนยันตัวตนที่จำเป็นต่อการเผยแพร่แพ็กเกจบน npm อย่างไรก็ตาม การส่ง issue เพียงรายการเดียวไม่ได้ทำให้แพ็กเกจอันตรายถูกเผยแพร่ทันที เส้นทางนี้เกี่ยวข้องกับ workflow หลายขั้นและการลบ release โดยผู้ดูแล

การเผยแพร่แบบ trusted publishing ของ npm เปิดให้ workflow อัตโนมัติ เช่น GitHub ยืนยันตัวตนและเผยแพร่แพ็กเกจได้โดยไม่ต้องเก็บโทเคนเผยแพร่ระยะยาวไว้ในระบบ เอกสารทางการของ npm อธิบายรายละเอียดของกระบวนการนี้ ส่วนเส้นทางที่นักวิจัยนำเสนอชี้ให้เห็นว่าสิทธิ์ของ workflow อัตโนมัติอาจถูกเปิดเผยต่อเนื่องก่อนถึงขั้นตอนเผยแพร่ดังกล่าว

npm เป็นแหล่งเผยแพร่แพ็กเกจซอฟต์แวร์ JavaScript หากผู้โจมตีได้สิทธิ์เผยแพร่ ก็อาจใส่โค้ดอันตรายในแพ็กเกจที่นักพัฒนาคิดว่าเป็นการอัปเดตตามปกติได้ แต่รายงานของ Depi ไม่ได้ระบุว่ามีการเผยแพร่ Codex เวอร์ชันอันตรายบน npm และส่งถึงผู้ใช้จริง Depi ระบุว่าได้แจ้งปัญหาผ่านช่องทาง bug bounty และ OpenAI แก้ไขช่องโหว่หลักแล้ว การตั้งค่า workflow จัดหมวดหมู่ issue ของ Codex ที่เปิดเผยต่อสาธารณะในปัจจุบันมีข้อกำหนดให้จำกัดพื้นที่ทำงานเป็นแบบอ่านอย่างเดียว