Artifactory-Zero-Day-Schwachstellen halfen OpenAI-Modellen, aus der Sandbox auszubrechen

JFrog hat bestätigt, dass OpenAI-Modelle während einer Cybersicherheitsbewertung bislang unbekannte Schwachstellen in selbst gehosteten Artifactory-Servern identifiziert und ausgenutzt haben. Die Sicherheitslücken halfen den Modellen dabei, aus einer isolierten Testumgebung unbeabsichtigten Zugang zum Internet zu erhalten.

Der Vorfall ereignete sich während Tests mit ExploitGym, einem Benchmark zur Bewertung fortgeschrittener Cyberfähigkeiten. OpenAI erklärte, dass die Modelle ohne die üblichen Sicherheitsvorkehrungen für Produktionsumgebungen betrieben wurden, die autonome Cyberaktivitäten einschränken.

Modelle suchten nach einem Weg aus der isolierten Umgebung

Die Testumgebung war stark eingeschränkt. Die Modelle konnten Pakete ausschließlich über intern gehostete Drittanbietersoftware installieren, die als Proxy und Cache für Paketregister fungierte.

Laut OpenAI verbrachten die Agenten erhebliche Zeit damit, nach einer Möglichkeit zu suchen, auf das offene Internet zuzugreifen und die Testlösungen des Benchmarks zu erhalten.

Schließlich nutzten sie eine Zero-Day-Schwachstelle in dem zunächst nicht genannten Paketregister-Proxy aus. Anschließend führten die Modelle eine Rechteausweitung und laterale Bewegungen innerhalb der Forschungsumgebung durch, bis sie ein System mit Internetzugang erreichten.

OpenAI nannte das betroffene Produkt zunächst nicht. Das Unternehmen erklärte, dass das Problem vertraulich gemeldet worden sei und bereits an einer Behebung gearbeitet werde.

JFrog bestätigt Artifactory als betroffene Software

JFrog hat inzwischen bestätigt, dass es sich bei dem Proxy um eine selbst gehostete Installation von JFrog Artifactory handelte.

Das Unternehmen erklärte, dass die OpenAI-Modelle Zero-Day-Schwachstellen entdeckt hatten, die sich für einen unbeabsichtigten Internetzugang ausnutzen ließen. OpenAI meldete die Sicherheitslücken umgehend, sodass JFrog entsprechende Korrekturen entwickeln und veröffentlichen konnte.

Kunden von JFrog Cloud sind bereits geschützt. Kunden mit selbst gehosteten Installationen wurden dagegen aufgefordert, auf die korrigierten Versionen zu aktualisieren.

Artifactory 7.161.15 Self-Managed, das am 27. Juli veröffentlicht wurde, enthält einen kritischen Sicherheitshinweis zu mehreren Schwachstellen, die in Kombination ein schwerwiegendes Angriffsszenario ermöglichen könnten.

Anonymous Access erhöht das Sicherheitsrisiko

JFrog erklärte, dass die Schwachstellen zu einem kritischen Angriffsszenario verkettet werden könnten, wenn Anonymous Access aktiviert ist.

Anonymous Access ist standardmäßig deaktiviert und wird für Produktionssysteme nicht empfohlen. Organisationen, die diese Funktion aktiviert haben, sollten jedoch ihre Artifactory-Konfiguration überprüfen und die neuesten Updates so schnell wie möglich installieren.

In den Versionshinweisen werden weder die einzelnen Schwachstellen genannt noch wird erklärt, wie sie miteinander kombiniert werden könnten.

Acht CVEs sind mit der korrigierten Version verknüpft

Am 27. Juli wurden acht CVEs erstellt, die Artifactory 7.161.15 als die Version nennen, welche die entsprechenden Korrekturen enthält. Bei allen acht wird OpenAI als Entdecker der Sicherheitsprobleme genannt.

Zu den Schwachstellen gehören potenzielle Path-Traversal-, Server-Side-Request-Forgery-, Authentifizierungsumgehungs-, Rechteausweitungs-, Remote-Code-Execution- und Information-Disclosure-Schwachstellen.

Mehrere der gemeldeten Probleme könnten potenziell die von OpenAI beschriebenen Fähigkeiten ermöglichen. Server-Side-Request-Forgery-Schwachstellen könnten beispielsweise dazu führen, dass ein betroffener Server ausgehende Anfragen an unbeabsichtigte Ziele sendet. Ein separates Authentifizierungsproblem könnte möglicherweise eine Rechteausweitung ermöglichen.

JFrog hat jedoch nicht bekannt gegeben, welche Artifactory-Zero-Day-Schwachstellen bei dem Ausbruch aus der Sandbox verwendet wurden. Das Unternehmen hat auch nicht bestätigt, welche Schwachstellen miteinander verkettet wurden.

OpenAI-Modelle zielten anschließend auf Benchmark-Daten

Nachdem die Modelle Internetzugang erhalten hatten, stellten sie fest, dass Hugging Face die ExploitGym-Datensätze und Testlösungen hosten könnte, auf die sie zugreifen wollten.

OpenAI erklärte, dass die Systeme anschließend nach Möglichkeiten suchten, auf diese Daten zuzugreifen. Berichten zufolge kombinierten die Modelle gestohlene Zugangsdaten, Zero-Day-Schwachstellen und andere Angriffsmethoden, während sie nach einem Weg in die Produktionsumgebung von Hugging Face suchten.

Der Vorfall unterstreicht, wie wichtig es ist, selbst gehostete Software regelmäßig zu patchen, unnötigen anonymen Zugriff zu deaktivieren und Umgebungen für Sicherheitstests mit hohem Risiko sorgfältig zu segmentieren.