Writer AI 漏洞可让代理预览跨租户泄露会话令牌

导语：网络安全研究人员披露了企业级生成式 AI 平台 Writer 中现已修补的一个严重会话隔离漏洞。该漏洞被命名为 WriteOut，攻击者只需一个预览链接即可跨租户劫持受害者账户，窃取其会话令牌并访问私有聊天、文档、LLM 凭据等敏感数据，甚至可获取管理控制权。

网络安全研究人员披露了 Writer（一家企业级生成式人工智能 AI 平台）中现已修补的一个严重会话隔离漏洞细节，该漏洞可能导致跨租户入侵。

该一键利用漏洞被 Sand Security Research 团队命名为 WriteOut。

这家网络安全公司在与 The Hacker News 分享的报告中表示："一名外部攻击者可以从毫无权限，到入侵任何行业领先企业内的 Writer AI 组织，所需要的仅仅是一个链接。"

换言之，该缺陷可被滥用以接管受害者的 Writer 账户，并利用该账户访问与代理、配置、私有模型、连接器以及大语言模型（LLM）凭据相关的私密聊天、文档和其他敏感数据。

更严重的是，根据受害者角色的不同，该漏洞甚至可被滥用以夺取管理控制权。该漏洞的一个重要特点是，攻击者和受害者不必属于同一组织。

攻击者可以在自己的 Writer 账户中创建一个代理并分享预览链接。仅需这一个动作即可触发该漏洞，本质上使得劫持点击链接并使用自身会话登录的受害者账户成为可能。

Sand Security 表示："攻击者可以滥用 Writer 的 AI 受管沙箱，收集完全属于其他公司的会话，并以真实用户的身份在每个被入侵的组织内执行操作，而无需事先在任何目标组织内获得任何立足点。"

WriteOut 还削弱了责任共担模型，因为它利用 Writer 的实时预览功能（允许用户通过 Writer Framework 预览应用程序）打破了租户隔离保护。由于攻击者可以指示其预先构建的恶意代理在受控的托管沙箱内运行代码，从而可以读取沙箱进程的内存，恢复受害者被外泄的会话令牌，并将其传输到攻击者控制的服务器。

Sand Security 指出："Writer 并非疏忽大意，他们设有防护栏。输入端的过滤试图阻止用户读取环境变量或提交明显恶意的代码。"问题在于这些检查所审视的对象：是用户指令，而非运行时行为。

"绕过防护栏的过程相当简单：我们没有直接将有效载荷粘贴进去，而是直接告诉代理去获取并运行远程脚本。防护栏看到的是一个良性的'下载并运行'请求，而真实的漏洞利用逻辑从未出现在提示词中。"