Um pacote npm malicioso se passando por uma interface de usuário remota para tokens de autenticação de desenvolvedor exfiltrados do OpenAI Codex, depois que os invasores supostamente publicaram código no npm que não era visível no repositório GitHub público do projeto.
Pesquisadores do Aikido disseram que o pacote, chamado codexui-android, parecia oferecer funcionalidade legítima ao coletar tokens de autenticação e enviá-los para um servidor externo.
“As ferramentas para desenvolvedores de IA estão se tornando um alvo de alto valor precisamente porque os tokens são poderosos e de longa duração”, disse Aikido. “Um refrescar_token do Codex roubado vai além do acesso a uma interface de bate-papo – é um acesso persistente e silencioso a tudo o que essa conta pode fazer.”
Aikido disse que o incidente refletiu um padrão mais amplo no qual os invasores constroem projetos confiáveis e úteis como cobertura para atividades maliciosas.
“A legitimidade é o vetor de ataque”, disse Aikido. “À medida que as ferramentas de IA proliferam e os desenvolvedores buscam atalhos de produtividade, espere mais disso.”
O caso expõe o que alguns especialistas em segurança descrevem como um crescente ponto cego na segurança da cadeia de fornecimento de software, onde os controles muitas vezes se concentram no código-fonte e não nos artefatos de software distribuídos aos usuários.
O incidente mostrou como os invasores podem usar projetos aparentemente legítimos para ocultar atividades maliciosas, disse Sunil Varkey, consultor de segurança cibernética e ex-CISO. “Nesse caso, o pacote npm parecia completamente legítimo: tinha um repositório GitHub ativo, recursos úteis para usuários do OpenAI Codex e atraiu cerca de 27.000 downloads semanais”, disse Varkey. “No entanto, o código malicioso que roubou tokens confidenciais só apareceu na versão publicada, não no código-fonte público.”
Varkey disse que o risco foi ampliado por um aplicativo Android complementar que extraiu e executou automaticamente o pacote npm malicioso em tempo de execução.
“A maioria das empresas possui ótimas ferramentas de segurança para seu código-fonte, mas os pipelines de construção e distribuição ainda são pontos cegos”, disse Devashri Datta, pesquisador de segurança cibernética. “Se um invasor deixar seu repositório GitHub público completamente limpo, mas injetar malware diretamente no pacote npm, as auditorias de código padrão não detectarão nada.”
Datta disse que as empresas devem verificar a procedência dos pacotes de software e a consistência entre os artefatos publicados e seu código-fonte público, alertando que o código-fonte aparentemente benigno pode não refletir com precisão o que os desenvolvedores instalam. O risco empresarial
Para as empresas, a preocupação é menos o pacote em si do que o nível de acesso agora associado às ferramentas de desenvolvimento de IA.
Aikido disse que o pacote roubou tokens de acesso, tokens de atualização, tokens de ID e IDs de contas, com o token de atualização representando um risco particular porque não expira. De acordo com Sakshi Grover, gerente sênior de pesquisa da IDC Asia Pacific Cybersecurity Services, isso significa que uma única exfiltração bem-sucedida se traduz em acesso persistente e silencioso a tudo o que a conta pode alcançar.
Grover destacou as previsões da IDC de que, até 2028, metade das empresas que implantam IA de agente em toda a Ásia-Pacífico, excluindo o Japão, exigirão uma lista de materiais de IA para apoiar a verificação contínua de vulnerabilidades, gerenciamento de risco de licença e garantia de conformidade. Ela disse que o incidente codexui-android ilustra por que as organizações precisam de melhor visibilidade dos componentes usados pelas ferramentas de IA e das credenciais que essas ferramentas podem acessar.
“A maioria das organizações ainda não possui um inventário completo do que suas ferramentas de IA podem acessar, quais credenciais elas herdam e com quais serviços externos interagem”, acrescentou Grover. “A maioria das empresas ainda não aplicou as mesmas disciplinas de menor privilégio e monitoramento comportamental às ferramentas de IA que aplicam às identidades humanas, e essa assimetria é o que os invasores estão agora explorando ativamente.”
O artigo apareceu originalmente no CSO.
