Напоследък едва минава ден без новини за AI агенти, които автономно хакват уебсайтове, или за AI инструменти, използвани от киберпрестъпници и измамници. Но наскоро коригирана уязвимост във версията на ChatGPT за macOS на OpenAI подчертава потенциалната стойност за атакуващите от компрометирането на самия AI софтуер с все по-широкото навлизане на тези приложения.
Уязвимостта е можела да бъде експлоатирана, за да се поеме практически пълен контрол върху ChatGPT на компютъра на жертвата, давайки на атакуващия достъп до всички логове от чатове и други данни, съхранявани от приложението, както и до взаимовръзки като сесии в браузъра. Открита от изследователи от фондация Objective-See, уязвимостта илюстрира дълбокия системен достъп и доверие, които се предоставят на AI платформите, за да функционират — и как това ги превръща в апетитна цел.
„Агентите се нуждаят от голям достъп, за да вършат работата си“, казва Патрик Уордъл, софтуерен аналитик във фондация Objective-See и дългогодишен изследовател на macOS. „Те са като управителя на сградата, който има достъп до ключовете за всички стаи. Така че, ако бъдат компрометирани или подчинени, това е изключително проблематично. Това може да означава, че код без привилегии потенциално би могъл да получи достъп до всичко.“
OpenAI публично потвърди уязвимостта в сигурността и внедрената корекция в своя списък с промени на системата на 25 септември. „Продължаваме да развиваме нашите практики за сигурност, но осъзнаваме необходимостта да се движим по-бързо“, заяви говорителят на OpenAI Шейн Бауър в изявление за WIRED.
Приложението на ChatGPT за macOS включва множество компоненти, които комуникират помежду си защитено чрез проверка за цифрови подписи. Идеята е с тези проверки за валидност да се потвърди, че и двата процеса са компоненти на OpenAI, а не външен, потенциално зловреден софтуер, който прави заявка. Архитектурата на системата стига дотам да изисква тези проверки на подписите на три нива от заявката, за да се гарантира, че зловредният софтуер не използва компонент на OpenAI като прокси за извършване на привидно доверена заявка.
Изследователите от фондация Objective-See обаче установяват, че съществува доверен компонент — скриптов интерпретатор, който приема недоверен скрипт (или списък от команди за изпълнение) и може да бъде манипулиран така, че да достави този скрипт в основния процес на ChatGPT. „Те също така проверяват родителския и прародителския процес, но зловредният скрипт просто стартира скриптовия интерпретатор три пъти и след това прави заявката, така че да удовлетвори изискванията“, казва Уордъл.
Уязвимостта е била „изключително тривиална“ за експлоатация, добавя той, като неговият концептуален код (proof of concept) е изисквал само около дузина реда код. В допълнение към достъпа до логовете от чатове в ChatGPT, уязвимостта е можела да се използва и за да накара ChatGPT да изпълнява команди от името на атакуващия, като например достъп до браузър или други чувствителни приложения, като заявките изглеждат като легитимни инструкции, издадени от софтуера на OpenAI.
Уордъл ще представи анализ на редица грешки в AI приложения за macOS на Objective by the Sea — конференция за сигурност, фокусирана върху Apple, през ноември.
Наскоро той откри уязвимост (вече коригирана) във функцията за диктовка на новия AI асистент Muse на Meta, която е можела да бъде експлоатирана от локален атакуващ за прихващане на грешно обработен токен за автентификация и получаване на достъп до потребителски данни. Той казва също, че вече е изпратил нов доклад за уязвимост към OpenAI, свързан с интеграцията между ChatGPT и новия винаги включен AI асистент Dots на компанията. В момента OpenAI преглежда неговия доклад.
„Компаниите за AI в момента са фиксирани върху добавянето на нови функции“, казва Уордъл. „Но както винаги, колкото повече функции има, толкова по-голяма е повърхността за атака. Така че всички тези компании трябва да бъдат напълно фокусирани върху сигурността, а от това, което виждам, тя все още често изглежда остава на задни позиции.“