Un difetto critico nell'agente di codifica Archon consente a estranei di prendere il controllo della tua macchina
Un bug di classe di gravità massima (CVSS 9.8) nell'agente di codifica AI Archon espone un'interfaccia di controllo non autenticata. Non esiste ancora alcuna patch; la soluzione temporanea è bloccare l'interfaccia sul tuo computer.
Una vulnerabilità recentemente pubblicata in Archon, un agente di codifica AI, ottiene un punteggio di 9,8 su 10 sulla scala di gravità standard (CVSS). Interessa le versioni da 0.2.13 a 0.11.1. In parole povere: il pannello di controllo dell’agente può essere raggiunto da chiunque sulla stessa rete senza password e l’agente dietro di esso può eseguire comandi sul computer.
I dettagli
Secondo The Hacker Wire, l’interfaccia di controllo /api/* dell’agente non dispone di autenticazione e, per impostazione predefinita, è in ascolto su 0.0.0.0. Quell’indirizzo significa “accetta connessioni da qualsiasi dispositivo che possa raggiungermi”, non solo dal tuo computer. L’agente funziona anche con bypassPermissions, un’impostazione che salta il solito “sei sicuro?” richiede. Combina i due e uno sconosciuto che può raggiungere il porto può inviare istruzioni all’agente e fargli eseguire comandi come te.
Al momento della pubblicazione non era disponibile alcuna patch del fornitore. Il rapporto afferma che non esiste alcuna prova pubblica del concetto e che il difetto non è nell’elenco dei bug attivamente sfruttati dal governo degli Stati Uniti. L’articolo stesso è un riepilogo assistito dall’intelligenza artificiale, quindi controlla la voce ufficiale prima di agire.
Cosa c’è dietro tutto questo?
Gli agenti di codifica sono utili perché possono agire: modificare file, eseguire programmi, installare cose. Quello stesso potere è il motivo per cui la serratura mancante della porta d’ingresso è così importante. Molti dei primi strumenti sono creati per un singolo sviluppatore su un laptop e presuppongono tranquillamente una rete amichevole. I problemi iniziano quando qualcuno li esegue su uno Wi-Fi condiviso, un server cloud o una rete aziendale.
Cosa significa per te: Se non usi Archon, niente da fare. In tal caso, finché non viene fornita una correzione, limitare la porta con un firewall o ricollegare l’interfaccia a 127.0.0.1, che significa “solo questo computer”, ed evitare di eseguirla su reti condivise. Più in generale, prima di provare qualsiasi strumento agente, controlla su quale indirizzo di rete è in ascolto e se richiede l’autorizzazione prima di eseguire i comandi.
Fonti
Microsoft presenta in anteprima MAI-Base-2, un modello da 2,8 trilioni di parametri che Microsoft non renderà open-weight
MAI-Base-2 di Microsoft è un modello di base con parametri da 2,8 T addestrato su tokens da 50 T che, secondo Microsoft, apprende in modo molto più efficiente rispetto a quello di DeepSeek. È ancora in fase di formazione e andrà solo a partner fidati.
