Vulnerabilidades do plug-in ChatGPT representam sérios riscos à segurança do usuário!
Pelo menos três vulnerabilidades de segurança descobertas em funções de extensão usadas pelo ChatGPT abrem portas para acesso não autorizado © sf_freelance/Shutterstock.com
Violações de segurança no ecossistema ChatGPT permitiram acesso a contas em sites de terceiros e dados confidenciais.
Os pesquisadores da Salt Security descobriram três tipos de vulnerabilidades em plug-ins que podem levar à exposição de dados e ao controle de contas.
A, são ferramentas ou extensões adicionais que podem ser integradas ao ChatGPT para ampliar sua funcionalidade ou melhorar aspectos específicos da experiência do usuário. Esses plug-ins podem incluir novos recursos de processamento de linguagem natural, recursos de pesquisa, integrações com outros serviços ou plataformas, ferramentas de análise de texto e muito mais. Simplificando, o.
Os plug-ins podem permitir que os usuários interajam com serviços de terceiros, como GitHub, Google Drive e Saleforce. Ao utilizar os plugins, os usuários autorizam o ChatGPT a transmitir dados confidenciais a serviços de terceiros. Em alguns casos, isto envolve permitir o acesso às suas contas privadas nas plataformas com as quais precisam interagir e, portanto, expor esses dados a hackers.
3 vulnerabilidades detectadas
A primeira vulnerabilidade descoberta pelos pesquisadores está na própria ferramenta ChatGPT e está relacionada à autenticação OAuth, podendo ser explorada para instalar plugins maliciosos em usuários do ChatGPT.
“O invasor pode escrever seu próprio plugin, que diz ao ChatGPT para passar quase todos os dados do chat para este plugin e, em seguida, explorando uma vulnerabilidade no ChatGPT, ele pode instalar este plugin malicioso na conta da vítima”, lemos no relatório publicado por Segurança do Sal.
O agressor obteve a propriedade do plugin e subsequentemente exerce autoridade sobre as informações pessoais pertencentes ao seu alvo, incluindo conversas potencialmente sensíveis nas quais o indivíduo possa ter participado.
A segunda vulnerabilidade é o controle de conta sem clique que afeta vários plug-ins. Um invasor pode explorar essa vulnerabilidade para assumir o controle da conta de uma organização em sites de terceiros, como. A falha está no plugin AskTheCode desenvolvido pela PluginLab.AI, que permite aos usuários acessar seus repositórios GitHub.
“Em nosso exemplo, usaremos"AskTheCode"-um plugin desenvolvido com PluginLab.AI que permite fazer perguntas aos seus repositórios GitHub-o que significa que os usuários que usam este plugin deram acesso aos seus repositórios GitHub », Ilustra o relatório.
A terceira vulnerabilidade é uma manipulação do redirecionamento OAuth que afeta vários plugins. Os pesquisadores demonstraram o ataque contra o plugin Charts by Kesem AI. Tal como acontece com o primeiro tipo de vulnerabilidade, este problema pode ser explorado enganando o usuário, fazendo-o clicar em um link malicioso projetado especificamente para o ataque.
Usuários em perigo © Tada Images/Shutterstock.com
Violações de segurança que colocam em risco centenas de milhares de usuários de IA
As questões de segurança associadas à inteligência artificial generativa representam uma ameaça significativa para uma ampla gama de utilizadores e organizações, de acordo com Yaniv Balmas, vice-presidente de investigação da Salt Security. Ele destaca a necessidade dos líderes de segurança compreenderem profundamente os riscos associados aos plug-ins e à integração do GenAI em sua infraestrutura, e recomenda análises de segurança aprofundadas do código. Ele também destaca a necessidade dos desenvolvedores de plug-ins e GPT compreenderem melhor o ecossistema GenAI para reduzir riscos potenciais.
Outros especialistas em segurança cibernética abordaram este problema, que constitui uma ameaça real no seu estado atual. É o caso de Sarah Jones, analista de investigação de ameaças cibernéticas da Critical Start, que confirma que as descobertas do Salt Lab revelam um risco de segurança mais amplo associado aos plugins GenAI, destacando a necessidade de padrões de segurança rigorosos e auditorias regulares. Quanto a Darren Guccione, CEO. e cofundador da Keeper Security, ele alerta sobre os perigos representados pelas vulnerabilidades em aplicações de terceiros, enfatizando a importância de não sacrificar a segurança pelos benefícios oferecidos pela IA.
A rápida proliferação da inteligência artificial (IA) em diversas aplicações levou a novos desafios para garantir a segurança das cadeias de fornecimento de software. Esta situação sublinha a necessidade premente de ajustar as medidas de segurança e implementar políticas eficazes de governação de dados, a fim de mitigar estes riscos. Como aponta Darren Guccione, existe um potencial elevado de acesso não autorizado a informações confidenciais, o que poderia resultar em consequências catastróficas se ocorresse um ataque de controle de conta.
O referido documento indica que as preocupações anteriormente identificadas foram abordadas e que não há indicação de exploração maliciosa destas lacunas de segurança. No entanto, continua a ser imperativo que os utilizadores atualizem imediatamente as suas aplicações de software para garantir proteção contínua contra ameaças potenciais.
Para descobrir em 31 de janeiro de 2023 às 18h03. Comparações de serviços
Fonte: Dark Reading, Salt Security
*️⃣ Link da fonte: