Lỗ hổng nghiêm trọng trong AWS Kiro: AI tự thay đổi cấu hình để thực thi mã độc

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong AWS Kiro, công cụ lập trình (IDE) tích hợp AI của Amazon. Lỗ hổng này cho phép kẻ tấn công thực thi mã độc từ xa trên máy tính của lập trình viên chỉ bằng cách chèn văn bản ẩn vào một trang web mà AI này truy cập.

Table Of Content

Cơ chế tấn công: Khi AI tự “phản bội” người dùng
Hạn chế của mô hình bảo mật cũ
AWS đã khắc phục như thế nào?

Cơ chế tấn công: Khi AI tự “phản bội” người dùng

Theo báo cáo từ Intezer và Kodem Security, vấn đề nằm ở cách Kiro quản lý tệp cấu hình ~/.kiro/settings/mcp.json. Tệp này chứa danh sách các máy chủ Model Context Protocol (MCP) mà Kiro sẽ tải và khởi chạy. Do Kiro có quyền tự động ghi tệp (fsWrite) và tải lại cấu hình mà không cần sự phê duyệt chặt chẽ, kẻ tấn công có thể thao túng nội dung tệp này.

Kẻ tấn công chỉ cần chèn văn bản ẩn (sử dụng font chữ cực nhỏ hoặc màu trùng với nền trang web) vào các tài liệu API hoặc trang web thông thường. Khi lập trình viên yêu cầu Kiro tóm tắt hoặc đọc nội dung trang web đó, AI sẽ vô tình đọc được các lệnh độc hại, tự động ghi đè tệp mcp.json và khởi chạy mã độc với đặc quyền của người dùng.

Hạn chế của mô hình bảo mật cũ

Mặc dù Kiro được thiết kế với cơ chế “con người phê duyệt”, nhưng trong thực tế, các cảnh báo bảo mật thường không ngăn chặn được việc tải lại cấu hình. Ngay cả khi người dùng không chủ động cấp quyền, quá trình thực thi mã độc vẫn diễn ra. Các nhà nghiên cứu cho biết, chỉ cần một lần thành công, kẻ tấn công có thể đánh cắp thông tin xác thực, mã nguồn hoặc chiếm quyền kiểm soát hệ thống nội bộ.

AWS đã khắc phục như thế nào?

AWS đã phát hành bản vá trong phiên bản v0.11.130. Thay vì tin tưởng vào quyết định của mô hình AI, AWS đã chuyển cơ chế kiểm soát xuống cấp độ nền tảng (platform). Hiện nay, các tệp nhạy cảm như mcp.json, .vscode/tasks.json và thư mục .git đã được đánh dấu là đường dẫn được bảo vệ, yêu cầu sự phê duyệt rõ ràng từ người dùng trước khi bất kỳ thay đổi nào được ghi lại.

Đáng chú ý, dù đây là một lỗ hổng nghiêm trọng, AWS vẫn chưa gán mã CVE cho sự cố này. Các chuyên gia khuyến cáo người dùng đang sử dụng các phiên bản cũ của Kiro nên cập nhật ngay lên phiên bản mới nhất (1.0.x) để đảm bảo an toàn.

Sự việc này một lần nữa gióng lên hồi chuông cảnh báo về tính bảo mật của các công cụ AI hỗ trợ lập trình. Việc tin tưởng hoàn toàn vào sự kiểm soát của AI mà thiếu đi các lớp bảo vệ cứng ở cấp độ hệ thống là một rủi ro lớn đối với các nhà phát triển trong môi trường làm việc hiện đại.

Nguồn tham khảo: The Hacker News