Unos investigadores logran escapar del entorno de pruebas de OpenAI Codex para ejecutar comandos en el sistema anfitrión

Un grupo de in­ves­ti­ga­do­res des­cu­brió un par de vul­ne­ra­bi­li­da­des que per­mi­tían es­ca­par del en­torno se­gu­ro de Codex, el agen­te de pro­gra­ma­ción de Ope­nAI. Uno de estos fa­llos lo­gra­ba eje­cu­tar co­man­dos en la compu­tado­ra de un de­sa­rro­lla­dor desde el modo con ma­yo­res res­tric­cio­nes, sin mos­trar ad­ver­ten­cias ni re­que­rir apro­ba­cio­nes pre­vias. Los pro­ble­mas fue­ron re­por­ta­dos a la em­pre­sa y re­suel­tos en el plazo de una se­ma­na.

El pri­mer fallo, de­no­mi­na­do Heap­jack, con­ver­tía una ac­ción ha­bi­tual en una eje­cu­ción re­mo­ta de có­di­go al abrir un re­po­si­to­rio ajeno y ha­cer­le una con­sul­ta. El pro­ble­ma ra­di­ca­ba en un com­po­nen­te que uti­li­za­ba un único pro­ce­so con dos con­tex­tos de Ja­vaS­cript com­par­tien­do la misma me­mo­ria, lo que per­mi­tía al có­di­go no con­fia­ble leer un token se­cre­to me­dian­te una cap­tu­ra del mon­tón. Con dicho token, el ata­can­te podía en­viar so­li­ci­tu­des a un pro­ce­so prin­ci­pal sin ais­la­mien­to y lo­grar la eje­cu­ción de co­man­dos fuera del en­torno se­gu­ro.

El se­gun­do fallo, lla­ma­do Over­patch y pre­sen­te en la in­ter­faz de línea de co­man­dos de có­di­go abier­to, per­mi­tía que una he­rra­mien­ta de par­ches mo­di­fi­ca­ra ar­chi­vos en la car­pe­ta de ini­cio a pesar de las res­tric­cio­nes del modo de es­cri­tu­ra. Esto ocu­rría por­que la pro­pia he­rra­mien­ta cal­cu­la­ba sus per­mi­sos a par­tir de datos pro­vis­tos por el ata­can­te, lo­gran­do am­pliar los pri­vi­le­gios de es­cri­tu­ra me­dian­te un par­che es­pe­cí­fi­co. Ambas fa­llas com­par­tían la ca­rac­te­rís­ti­ca de que el me­ca­nis­mo de con­trol de se­gu­ri­dad re­si­día den­tro del mismo ele­men­to que debía su­per­vi­sar.

Ope­nAI so­lu­cio­nó ambas vul­ne­ra­bi­li­da­des en ver­sio­nes es­pe­cí­fi­cas de la apli­ca­ción de es­cri­to­rio y de la in­ter­faz de línea de co­man­dos, por lo que se re­co­mien­da ac­tua­li­zar a di­chas ver­sio­nes o pos­te­rio­res. El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos téc­ni­cos o fu­tu­ros de­sa­rro­llos de la pla­ta­for­ma.