Jeden piksel białego tekstu wystarczył, żeby przejąć maszynę dewelopera

Wystarczył jeden piksel białego tekstu na zwykłej stronie z dokumentacją API, żeby Kiro, agentowy edytor kodu od AWS, przepisało własny plik konfiguracyjny i uruchomiło cudzy kod na maszynie dewelopera. Żaden krok z prośbą o zgodę nie był w stanie tego zatrzymać. Intezer, wspólnie z Kodem Security, pokazało, że prośba tak niewinna jak "streść mi tę stronę" mogła skończyć się zdalnym wykonaniem kodu. AWS załatało dziurę, numeru CVE nikt nie przydzielił.

Cały model bezpieczeństwa Kiro opiera się na jednym geście: człowiek klika "zezwól". Agent może uruchamiać komendy powłoki, pobierać strony i edytować pliki, a projekt zakłada, że deweloper zatwierdzi wszystko, co ryzykowne, zanim to się wydarzy. Ten klik jest całą granicą bezpieczeństwa, a sedno ataku polegało na tym, żeby ją ominąć, nie dając deweloperowi nawet szansy na wybór.

Słabym punktem był plik, który mówi Kiro, jakie zewnętrzne narzędzia ma wczytać. W ~/.kiro/settings/mcp.json Kiro trzyma listę serwerów MCP, które agent może odpalić do pomocy, każdy opisany dokładną komendą uruchamiającą. Kiedy ten plik się zmienia, Kiro przeładowuje go i uruchamia wszystko, co tam opisano, z uprawnieniami dewelopera. W czasie badania agent potrafił sam zapisać mcp.json swoim narzędziem fsWrite, bez żadnej zgody, i automatycznie go przeładować. Kto wpłynął na zawartość tego pliku, mógł wpisać serwer, którego komenda startowa była dowolnym kodem.