Діра в ChatGPT дозволяла чужим акаунтам читати приватні листи в Gmail

Фахівці компанії Check Point Research виявили прихований канал у бекенді OpenAI: вразливість у середовищі виконання коду ChatGPT дозволяла сесії одного облікового запису непомітно передавати команди в сесію зовсім іншого користувача.

Шпарина ховалася у внутрішньому сховищі пакетів JFrog Artifactory, до якого мали доступ ізольовані пісочниці чат-бота. Розробники забули про базову гігієну: будь-який контейнер міг записувати довільні метадані у спільний репозиторій і безперешкодно читати їх звідти. У результаті звичайний сервіс доставки бібліотек перетворився на спільний буфер обміну між акаунтами, які за задумом ніколи не мали бачити один одного.

Зловмиснику не потрібно було ламати сервери: достатньо було підсунути жертві шкідливу інструкцію через спільне посилання на діалог чи кастомний GPT. Щойно людина відправляла звичайний запит, її чат-бот непомітно для очей перевіряв спільне сховище, зчитував приховану команду та паралельно витягував потрібну інформацію.

Через те що система за замовчуванням виконує операції читання без підтвердження, хакери могли спокійно зливати вміст чужих підключених сервісів на кшталт Gmail, Google Диск, Microsoft Teams або GitHub. Під час демонстраційної атаки єдиним слідом викрадення пошти була крихітна непомітна плашка «Talked to Gmail», яка з'явилася в інтерфейсі вже після завершення крадіжки даних.

Після отримання звіту про діру компанія OpenAI офіційно підтвердила, що вразливий екземпляр внутрішнього сервісу було виведено з експлуатації.

Підключення розумних асистентів до всіх своїх корпоративних та особистих скриньок виглядає чудовою ідеєю рівно до того моменту, поки черговий фоновий скрипт не починає тихцем передавати архіви пошти назовні. Поки весь світ боїться повстання машин, реальну небезпеку несуть банальні дірки в конфігураціях хмарних сервісів, які розробники лінуються надійно зачинити.

Джерело: Check Point Research