چالش امنیتی جدید در Codex؛ نصب مخفیانه سرویس‌های پس‌زمینه توسط رابط خط فرمان
Codex CLI: کاربران گزارش داده‌اند که این سرویس حتی پس از اتمام کار با برنامه، به‌طور خودکار نسخه‌های جدید را دانلود و جایگزین می‌کند.
رابط خط فرمان (CLI) ابزار Codex در نسخه ۰.۱۵۷.۰ با نصب خودکار و پیش‌فرض یک سرویس پس‌زمینه (Daemon) که به‌طور مستقل آپدیت می‌شود، اعتراض کاربران و توسعه‌دهندگان را برانگیخته است. این تغییر که بدون اطلاع‌رسانی شفاف در نسخه‌های اخیر اعمال شده، باعث می‌شود حتی پس از بستن پنجره‌های تعاملی، فرآیندهای مرتبط با برنامه در حافظه سیستم باقی بمانند و به فعالیت خود ادامه دهند.
خلاصه
رابط خط فرمان Codex در آخرین به‌روزرسانی خود، یک سرویس پس‌زمینه خودگردان را به‌صورت پیش‌فرض فعال کرده است که باعث مصرف منابع سیستم و ایجاد ریسک‌های امنیتی می‌شود. کاربران گزارش داده‌اند که این سرویس حتی پس از اتمام کار با برنامه، به‌طور خودکار نسخه‌های جدید را دانلود و جایگزین می‌کند. برای رفع این مشکل، باید گزینه شروع خودکار سرویس در تنظیمات غیرفعال شود.
چرا نصب خودکار سرویس پس‌زمینه نگران‌کننده است؟
توسعه‌دهندگان در گیت‌هاب گزارش داده‌اند که Codex CLI اکنون حدود ۳۷۴ مگابایت داده را در مسیرهای محلی کاربر کپی کرده و یک نسخه مجزا از موتور اجرایی خود را راه‌اندازی می‌کند. این سرویس که با نام app-server-daemon شناخته می‌شود، هر ساعت یک بار برای دریافت آپدیت‌های جدید با سرور ارتباط برقرار می‌کند.
مشکل اصلی اینجاست که این فرآیند با بستن ترمینال متوقف نمی‌شود و به والد اصلی سیستم (PID ۱) متصل می‌گردد. این رفتار برای یک ابزار خط فرمان که انتظار می‌رود عمر آن محدود به زمان باز بودن پنجره باشد، غیرمعمول و مشابه رفتارهای بدافزاری توصیف شده است. علاوه بر این، سرویس مذکور تنظیمات پروکسی اولین نشست (Session) را ذخیره کرده و در تمام نشست‌های بعدی اعمال می‌کند که منجر به اختلال در شبکه کاربران می‌شود.
پیامدهای امنیتی و عملکردی
- مصرف ناخواسته پهنای باند: آپدیت‌های خودکار ساعتی بدون اجازه کاربر انجام می‌شوند.
- اختلال در مدیریت بسته: نسخه‌ای که سرویس اجرا می‌کند با نسخه‌ای که توسط مدیر بسته‌های سیستم (مانند npm یا pacman) نصب شده متفاوت است.
- باقی ماندن فرآیندها: حتی دستور توقف سرویس نیز گاهی اوقات فرآیند بررسی آپدیت را به‌طور کامل نمی‌بندد.
چطور این قابلیت را غیرفعال کنیم؟
کاربران برای جلوگیری از اجرای این سرویس مخفی، باید از دستورات پیکربندی استفاده کنند. با اجرای دستور ۰ در ترمینال، از اجرای خودکار این سرویس در دفعات بعدی جلوگیری می‌شود. همچنین پیشنهاد شده است که فایل تنظیمات ۱ بررسی و مقدار گزینه مربوط به شروع خودکار سرویس روی حالت false قرار گیرد.
در پلتفرم‌هایی مانند هوش مصنوعی نهال که دسترسی به مدل‌های بین‌المللی را از طریق زیرساخت‌های مدیریت‌شده فراهم می‌کنند، این دست پیچیدگی‌های تنظیمات محلی و خطرات نصب سرویس‌های ناخواسته روی سیستم شخصی کاربر حذف شده است.
واکنش جامعه توسعه‌دهندگان
بسیاری از کاربران در انجمن‌های تخصصی مانند هکرنیوز، این اقدام را نقض اعتماد کاربر دانسته‌اند. آن‌ها معتقدند ابزارهای توسعه‌دهنده باید شفاف باشند و هرگونه فرآیند پس‌زمینه یا آپدیت خودکار باید به صورت انتخابی (Opt-in) باشد، نه اینکه کاربر مجبور به پیدا کردن راهی برای غیرفعال کردن آن شود. در حال حاضر، این موضوع به عنوان یک گزارش نقص فنی و درخواستی برای تغییر در مخزن اصلی پروژه ثبت شده است.
منبع: github.com