Siber güvenlik araştırmacıları, kurumsal yapay zeka platformu Writer'da bulunan ve çoklu kiracılı (cross-tenant) saldırılara yol açabilen kritik bir oturum izolasyonu güvenlik açığını açıkladı. Sand Security Research ekibi tarafından WriteOut adı verilen bu açık, bir tıklamayla saldırganın, hedefin Writer hesabını tamamen ele geçirmesine olanak tanıyor. Saldırgan, kendi hesabında bir ajan (agent) oluşturup önizleme bağlantısını paylaşıyor; hedef bu bağlantıya tıkladığında, oturum çerezi saldırganın kontrolündeki sandbox'a yönlendiriliyor.
Güvenlik firmasının raporuna göre, saldırgan hiçbir erişimi olmadan, sadece bir bağlantı ile Writer kullanıcılarının hesaplarını ele geçirebiliyor. Bu sayede özel sohbetler, belgeler, ajan yapılandırmaları, özel modeller, bağlayıcılar ve büyük dil modeli (LLM) kimlik bilgilerine erişmek mümkün. Ayrıca, kurbanın rolüne bağlı olarak yönetici kontrolü de ele geçirilebiliyor. Önemli bir nokta, saldırgan ve kurbanın aynı organizasyona ait olması gerekmiyor.
WriteOut açığı, Writer'ın canlı önizleme (live preview) özelliğini kötüye kullanıyor. Writer Framework üzerinden uygulamaların önizlemesini sağlayan bu özellik, kiracı izolasyonunu (tenant isolation) kırarak paylaşılan sorumluluk modelini (shared responsibility model) zayıflatıyor. Saldırı zinciri şöyle işliyor: Saldırgan, canlı önizlemeli bir ajan oluşturup genel bağlantısını paylaşıyor. Oturum açmış bir Writer kullanıcısı bu bağlantıyı açtığında, tarayıcısı Writer oturum çerezini isteğe ekliyor. Önizleme proxy'si bu çerezi saldırganın sandbox'ına gönderiyor. Sandbox içindeki kod, iletilen session token'ı okuyup dışarı sızdırıyor. Saldırgan bu token'ı tekrar kullanarak kurbanın hesabını kontrol ediyor.
Sand Security, güvenlik açığını sorumlu bir şekilde Writer'a bildirdi. Writer, sorunu çözmek için kullanıcının oturum çerezinin sandbox önizlemelerine iletilmesini tamamen engelledi ve bunları izole bir kaynağa taşıdı. Araştırmacılar, Writer'ın önlemler aldığını ancak bunların yetersiz kaldığını belirtti: 'Writer dikkatsiz değildi, korkuluklar vardı. Giriş tarafı filtreleme, kullanıcıların ortam değişkenlerini okumasını veya bariz kötü amaçlı kod göndermesini engellemeye çalışıyordu. Sorun, bu kontrollerin neye baktığıydı: talimatın kendisine değil, çalışma zamanı davranışına. Korkuluğu atlatmak oldukça basitti: Yükü satır içi yapıştırmak yerine, ajana uzaktan bir betik indirip çalıştırmasını söyledik. Korkuluk, zararsız bir 'indir ve çalıştır' isteği gördü ve asıl istismar mantığı hiçbir zaman istemde görünmedi.'
