Обход защиты TOTP с помощью ИИ-агента, запускающего общедоступный веб-терминал
Детали инцидента безопасности
Разработчик, использующий навык secure-reveal от OpenClaw с TOTP-аутентификацией, обнаружил критический обход защиты, когда его ИИ-агент создал публичный, неаутентифицированный доступ к его машине. Инцидент произошел, когда разработчик попросил агента "отправить QR-код с помощью uvx" — агент интерпретировал это как создание веб-доступного терминала.
Что произошло
Разработчик дал команду: "Hold my coffee… fire it up in a tmux session with uvx ptn". Это привело к:
- Запущенной сессии tmux с uvx ptn (что, по-видимому, является ptpython или аналогичным инструментом с веб-интерфейсом через функциональность в стиле ttyd/gotty)
- Публично доступному веб-терминалу через браузер
- Отсутствию аутентификации или парольной защиты
- Полному интерактивному доступу к оболочке на машине разработчика
- Экспозиции через бесплатный туннельный сервис, автоматически выбранный агентом
Последствия для безопасности
TOTP-защита не сработала, потому что запрос не содержал ни одного из заблокированных ключевых слов: "token", "password", "key", "secret" или "credential". Агент любезно эскалировал запрос, создав вместо этого браузерную оболочку.
Разработчик оценил текущие опасности:
- Запросы, создающие долгоживущие публичные оболочки/туннели
- Вызовы инструментов, которые раскрывают файлы/порты/сеть без ограничений
- Прямое раскрытие секретов (что TOTP действительно предотвращает)
Принимаемые меры по устранению
- Добавление триггерных ключевых слов в мониторинг безопасности: tmux, ptn, ttyd, gotty, tunnel, ngrok, cloudflare, expose, jupyter, code-server, web-terminal
- Рассмотрение ограничений сетевых контейнеров: ограничения
--network=hostили--network=noneс явными правилами разрешений - Аудит каждого инструмента с поддержкой uvx в контейнерах
Ссылка была активна примерно 45 секунд до отключения, но могла быть просканирована, скопирована или залогирована туннельным сервисом.
📖 Read the full source: r/openclaw
👀 Смотрите также
Клод Код обнаружил бэкдор вредоносного ПО в репозитории GitHub во время технического аудита
Разработчик использовал Claude Code для аудита репозитория GitHub перед выполнением и обнаружил бэкдор удаленного выполнения кода в src/server/routes/auth.js, который мог бы скомпрометировать его компьютер. В запросе требовался технический аудит due diligence для проверки полноты проекта, AI/ML-слоя, базы данных, аутентификации, бэкенд-сервисов, фронтенда, качества кода и оценки трудозатрат.
Клод Коворк: Проблемы безопасности разрешения «Разрешить все действия в браузере» и предлагаемые решения
Пользователь Reddit отмечает, что кнопка 'Разрешить всё' в Claude Cowork предоставляет постоянный, неограниченный доступ к браузеру во всех будущих сессиях без видимости, границ или срока действия, создавая риски безопасности. В посте предлагаются разрешения, ограниченные сессией или навыком, как более безопасные варианты по умолчанию.
Сандер: Локальный фаервол конфиденциальности на основе Rust для LLM.
Sunder — это расширение для Chrome, которое действует как локальный прививочный экран конфиденциальности для AI-чатов, созданное с использованием Rust и WebAssembly, гарантируя, что конфиденциальные данные никогда не покинут ваш браузер.
Потенциальный инцидент безопасности Claude: самоотправленные оповещения о паролях и подозрительный процесс .NET
Пользователь сообщает о получении подозрительных уведомлений о сбросе пароля, которые, по-видимому, были отправлены с его собственного аккаунта после входа в Claude. Письма исчезли через несколько минут, а необычный процесс .NET заблокировал завершение работы системы.