Nghiên cứu cảnh báo rủi ro bảo mật và quyền riêng tư trong IDE AI
"Researchers from York University and the University of Calgary analyzed 1.1 million Reddit posts and 6,000+ comments to build a taxonomy of security and privacy concerns in LLM-native IDEs such as Claude Code, Cursor, GitHub Copilot, and OpenAI Codex. They found recurring issues including unauthorized file operations, unsafe or unexpected code execution, destructive actions, opaque data flows, telemetry collection, and sensitive data leakage, and argued that safer defaults and built-in safeguards are needed before broad access is granted to developer files and systems."
Nguy cơ truy cập và sửa đổi tệp trái phép, thực thi hành động ngoài ý muốn và rò rỉ dữ liệu nhạy cảm trong môi trường phát triển.
Có thể gây gián đoạn môi trường production, mất dữ liệu dự án và tăng chi phí kiểm soát, rà soát quyền truy cập.
Các nhà nghiên cứu từ York University và University of Calgary đã phân tích 1,1 triệu bài đăng trên Reddit và hơn 6.000 bình luận để xây dựng một phân loại về các lo ngại bảo mật, quyền riêng tư trong các LLM-native IDEs như Claude Code, Cursor, GitHub Copilot và OpenAI Codex.
Kết quả cho thấy nhiều vấn đề lặp lại, gồm truy cập tệp trái phép, thực thi mã không an toàn, hành động phá hủy ngoài ý muốn, luồng dữ liệu khó quan sát, thu thập telemetry và nguy cơ rò rỉ dữ liệu nhạy cảm. Trong nhóm sự cố liên quan đến bảo mật, 43,1% bài đăng đề cập đến unauthorized file operations; một số trường hợp là xóa thư mục dự án, sửa tệp khi chưa có đồng ý, hoặc truy cập vượt quá workspace đang hoạt động.
Nghiên cứu cũng ghi nhận các tình huống ảnh hưởng vận hành, như công cụ triển khai mã lên môi trường production hoặc tác động đến cơ sở dữ liệu. Ở khía cạnh quyền riêng tư, các vấn đề nổi bật là thiếu minh bạch về dữ liệu thu thập, truy cập dữ liệu không được phép và truyền dữ liệu ngoài ý muốn.
Nhóm tác giả khuyến nghị các nhà phát triển công cụ AI cần đưa security-by-default và privacy-by-default vào thiết kế, thay vì phụ thuộc vào người dùng tự cấu hình quyền và kiểm soát rủi ro.