Trois vulnérabilités de sécurité découvertes dans les fonctions d'extension utilisées par ChatGPT ouvrent la porte à un accès non autorisé, sans clic, aux comptes et services des utilisateurs, y compris aux référentiels sensibles sur des plateformes comme GitHub.
Les plug-ins ChatGPT et les versions personnalisées de ChatGPT publiées par les développeurs étendent les capacités du modèle d'IA, permettant des interactions avec des services externes en accordant au chatbot d'IA génératif populaire d'OpenAI l'accès et les autorisations pour exécuter des tâches sur divers sites Web tiers, notamment GitHub et Google Drive. .
Les chercheurs de Salt Labs ont découvert trois vulnérabilités critiques affectant ChatGPT, dont la première se produit lors de l'installation de nouveaux plug-ins, lorsque ChatGPT redirige les utilisateurs vers des sites Web de plug-ins pour l'approbation du code. En exploitant cela, les attaquants pourraient inciter les utilisateurs à approuver un code malveillant, ce qui entraînerait l'installation automatique de plug-ins non autorisés et une potentielle compromission des comptes de suivi.
Deuxièmement, PluginLab, un framework pour le développement de plug-ins, ne dispose pas d'une authentification appropriée des utilisateurs, ce qui permet aux attaquants de usurper l'identité des utilisateurs et d'exécuter des piratages de comptes, comme le montre le plug-in « AskTheCode » connectant ChatGPT à GitHub.
Enfin, les chercheurs de Salt ont découvert que certains plug-ins étaient susceptibles Manipulation de redirection OAuth, permettant aux attaquants d'insérer des URL malveillantes et de voler les informations d'identification des utilisateurs, facilitant ainsi d'autres piratages de comptes.
Le rapport indique que les problèmes ont depuis été résolus et qu'il n'y avait aucune preuve que les vulnérabilités avaient été exploitées. Les utilisateurs doivent donc mettre à jour leurs applications dès que possible.
Les problèmes de sécurité de GenAI mettent en danger un vaste écosystème
Yaniv Balmas, vice-président de la recherche chez Salt Security, affirme que les problèmes découverts par l'équipe de recherche pourraient mettre en danger des centaines de milliers d'utilisateurs et d'organisations.
« Les responsables de la sécurité de toute organisation doivent mieux comprendre le risque, ils doivent donc examiner quels plug-ins et GPT leur entreprise utilise et quels comptes tiers sont exposés via ces plug-ins et GPT », dit-il. « Comme point de départ, nous suggérons de procéder à un examen de sécurité de leur code. »
Pour les développeurs de plug-ins et de GPT, Balmas recommande aux développeurs de mieux connaître les éléments internes de l'écosystème GenAI, les mesures de sécurité impliquées, comment les utiliser et comment en abuser. Cela inclut spécifiquement les données envoyées à GenAI et les autorisations accordées à la plate-forme GenAI ou aux plug-ins tiers connectés – par exemple, l'autorisation pour Google Drive ou GitHub.
Balmas souligne que l'équipe de recherche de Salt n'a vérifié qu'un petit pourcentage de cet écosystème et affirme que les résultats indiquent qu'il existe un risque plus important pour les autres plates-formes GenAI et de nombreux plug-ins GenAI existants et futurs.
Balmas dit également qu'OpenAI devrait mettre davantage l'accent sur la sécurité dans sa documentation destinée aux développeurs, ce qui contribuera à réduire les risques.
Les risques de sécurité du plug-in GenAI vont probablement augmenter
Sarah Jones, analyste de recherche sur les cybermenaces chez Critical Start, convient que les conclusions de Salt Lab suggèrent un risque de sécurité plus large associés aux plug-ins GenAI.
"À mesure que GenAI s'intègre de plus en plus aux flux de travail, les vulnérabilités des plug-ins pourraient permettre aux attaquants d'accéder à des données ou à des fonctionnalités sensibles au sein de diverses plates-formes", explique-t-elle.
Cela souligne la nécessité de normes de sécurité robustes et d'audits réguliers pour les plates-formes GenAI et leurs écosystèmes de plug-ins, à mesure que les pirates informatiques commencent à cibler les failles de ces plateformes.
Darren Guccione, PDG et co-fondateur de Keeper Security, affirme que ces vulnérabilités constituent un « rappel brutal » des risques de sécurité inhérents aux applications tierces et devraient inciter les organisations à renforcer leurs défenses.
« Alors que les organisations s’empressent d’exploiter l’IA pour acquérir un avantage concurrentiel et améliorer leur efficacité opérationnelle, la pression nécessaire à la mise en œuvre rapide de ces solutions ne devrait pas prendre le pas sur les évaluations de sécurité et la formation des employés », déclare-t-il.
La prolifération des applications basées sur l'IA a également introduit des défis dans sécurité de la chaîne logistique logicielle, obligeant les organisations à adapter leurs contrôles de sécurité et leurs politiques de gouvernance des données.
Il souligne que les employés saisissent de plus en plus de données exclusives dans les outils d'IA – notamment la propriété intellectuelle, les données financières, les stratégies commerciales, etc. – et qu'un accès non autorisé par un acteur malveillant pourrait être paralysant pour une organisation.
« Une attaque de piratage de compte mettant en péril le compte GitHub d'un employé, ou d'autres comptes sensibles, pourrait avoir des conséquences tout aussi dommageables », prévient-il.
- Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
- PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
- PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
- PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
- PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
- La source: https://www.darkreading.com/vulnerabilities-threats/critical-chatgpt-plugin-vulnerabilities-expose-sensitive-data
- :possède
- :est
- :ne pas
- $UP
- 7
- a
- A Propos
- abus
- accès
- Compte
- hybrides
- adapter
- affectant
- accepte
- AI
- AI chatbot
- Permettre
- aussi
- an
- analyste
- ainsi que
- tous
- applications
- approbation
- applications
- SONT
- AS
- associé
- At
- attaquer
- audits
- Authentification
- Automatique
- conscients
- BE
- devient
- était
- va
- Améliorée
- plus gros
- tous les deux
- la performance des entreprises
- by
- capacités
- mises en garde
- CEO
- certaines
- chaîne
- globaux
- Chatbot
- ChatGPT
- vérifié
- Co-fondateur
- code
- Société
- compétitif
- compromis
- connecté
- Connecter les
- contrôles
- pourriez
- Lettres de créance
- paralysant
- critique
- Customiser
- cyber
- endommager
- données
- défenses
- mobiles
- Développement
- Documentation
- Porte
- motivation
- pendant
- risque numérique
- Écosystèmes
- Edge
- efficace
- l'accent
- souligne
- Employés
- employés
- emploie
- permettant
- de renforcer
- entrant
- également
- évaluations
- preuve
- exemple
- exécuter
- existant
- Exploités
- exploitant
- exposé
- étendre
- extension
- externe
- faciliter
- la traduction de documents financiers
- données financières
- résultats
- Prénom
- fixé
- défauts
- Pour
- trouvé
- Framework
- fonctionnalités
- fonctions
- plus
- avenir
- Gain
- Genai
- génératif
- IA générative
- GitHub
- donné
- gouvernance
- octroi
- les pirates
- ait eu
- Vous avez
- he
- vous aider
- Comment
- How To
- HTTPS
- Des centaines
- Impacts
- imiter
- Mettre en oeuvre
- in
- inclut
- Y compris
- Améliore
- de plus en plus
- indiquer
- inhérent
- installation
- des services
- intellectuel
- propriété intellectuelle
- Intelligence
- interactions
- développement
- introduit
- impliqué
- vous aider à faire face aux problèmes qui vous perturbent
- jones
- jpg
- laboratoire
- Labs
- dirigeants
- conduisant
- Levier
- comme
- Probable
- Fabrication
- malveillant
- de nombreuses
- Mai..
- les mesures
- modèle
- PLUS
- must
- Besoin
- Nouveauté
- aucune
- noté
- of
- on
- uniquement
- ouvert
- OpenAI
- opérationnel
- or
- organisation
- organisations
- Autre
- ande
- plus de
- pourcentage
- autorisation
- autorisations
- plateforme
- Plateformes
- Platon
- Intelligence des données Platon
- PlatonDonnées
- Point
- des notes bonus
- politiques
- Populaire
- possible
- défaillances
- président
- la parfaite pression
- correct
- propriété
- propriétaire
- fournir
- publié
- mettre
- vite.
- recommande
- réduire
- Standard
- pertinent
- rappel
- rapport
- un article
- chercheurs
- Avis
- Analyse
- risques
- robuste
- se ruer
- s
- sel
- dit
- sécurité
- Mesures de sécurité
- risques de sécurité
- vu
- sensible
- envoyé
- besoin
- Services
- elle
- devrait
- depuis
- petit
- So
- Solutions
- Bientôt
- spécifiquement
- Normes
- rigide
- Commencer
- Commencez
- les stratégies
- suggérer
- la quantité
- chaîne d'approvisionnement
- sensible
- Prenez
- prise de contrôle
- tâches
- équipe
- qui
- La
- leur
- Les
- Là.
- Ces
- l'ont
- des tiers.
- this
- ceux
- milliers
- menace
- Avec
- à
- les outils
- Formation
- astuce
- non autorisé
- découvert
- comprendre
- Mises à jour
- utilisé
- Utilisateur
- utilisateurs
- en utilisant
- divers
- Vaste
- versions
- vice
- Vice-président
- vulnérabilités
- était
- we
- sites Internet
- ont été
- Quoi
- quand
- qui
- sera
- comprenant
- dans les
- workflows
- pourra
- zéphyrnet