Sicherheitsforscher entdeckten eine Schwachstelle in ChatGPT, die Angreifern den Zugriff auf Gmail-Nachrichten, Dateien und den Gesprächsverlauf eines anderen Nutzers ermöglichen konnte. Der Angriff nutzte einen verborgenen Kommunikationskanal zwischen isolierten ChatGPT-Sitzungen und konnte ablaufen, ohne dem Opfer die schädliche Anfrage anzuzeigen.
OpenAI hat den internen Dienst hinter der Schwachstelle inzwischen außer Betrieb genommen und damit diesen speziellen Angriffsweg geschlossen.
Separate ChatGPT-Sitzungen konnten kommunizieren
Check Point Research stellte fest, dass ChatGPT-Sitzungen verschiedener Konten über einen gemeinsam genutzten internen Dienst Informationen austauschen konnten. Diese unerwartete Verbindung ermöglichte es einem Angreifer, verborgene Anweisungen an die Sitzung eines Opfers zu senden.
Die ChatGPT-Sitzung des Opfers konnte die angeforderte Aufgabe anschließend mit ihren bestehenden Berechtigungen ausführen. Abhängig von den verbundenen Diensten konnte der Angriff Gmail, Google Drive, Microsoft Teams, GitHub, hochgeladene Dateien und frühere Unterhaltungen erreichen.
Die Forscher demonstrierten die Schwachstelle, indem sie die Sitzung eines Opfers anwiesen, E-Mail-Informationen aus Gmail abzurufen. Anschließend übermittelte die Sitzung die gesammelten Daten an den Angreifer, ohne dem Opfer die schädliche Anfrage anzuzeigen.
Gewöhnliche Prompts konnten verborgene Aufgaben auslösen
Angreifer konnten eine Anweisung über einen schädlichen Prompt, eine geteilte ChatGPT-Unterhaltung oder ein benutzerdefiniertes GPT übermitteln. Nachdem die verborgene Anfrage die Unterhaltung des Opfers erreicht hatte, musste das Opfer lediglich eine gewöhnliche Nachricht senden, um sie auszulösen.
Ein Nutzer konnte beispielsweise eine ganz normale Frage stellen und die erwartete Antwort erhalten. Währenddessen konnte ChatGPT die separate Anweisung des Angreifers im Hintergrund verarbeiten.
Die sichtbare Antwort lieferte daher keinen eindeutigen Hinweis darauf, dass eine weitere Aufgabe ausgeführt worden war. Bei der Gmail-Demonstration sah das Opfer lediglich einen kleinen Hinweis darauf, dass ChatGPT mit Gmail kommuniziert hatte. Diese Kennzeichnung erschien jedoch erst, nachdem das System bereits auf die Daten zugegriffen hatte.
Interner Dienst wurde zu einer gemeinsamen Zwischenablage
ChatGPT führt einige Vorgänge in isolierten Codeausführungsumgebungen aus, die als Container bezeichnet werden. Diese Container konnten nicht direkt miteinander kommunizieren. Sie hatten jedoch gemeinsamen Zugriff auf einen internen JFrog-Artifactory-Dienst, der Softwarepakete verteilte.
Die Forscher stellten fest, dass der Dienst auch kleine Datenmengen speichern und abrufen konnte. Ein mit einem ChatGPT-Konto verbundener Container konnte Informationen hinterlegen, auf die der Container eines anderen Kontos später zugreifen konnte.
Check Point beschrieb den Mechanismus als verborgene gemeinsame Zwischenablage. Die Forscher verwandelten ihn in einen wechselseitigen Kommunikationskanal zwischen ansonsten getrennten Nutzerkonten.
Ein Angreifer konnte eine Anweisung am gemeinsam genutzten Speicherort ablegen. Die Sitzung des Opfers konnte die Aufgabe anschließend abrufen, ausführen und die angeforderten Informationen über denselben Kanal zurücksenden.
Verbundene Apps erhöhten die möglichen Auswirkungen
Die Auswirkungen der ChatGPT-Schwachstelle hingen von den Berechtigungen der Sitzung des Opfers ab. Konten, die mit E-Mail-Diensten, Cloud-Speichern oder Arbeitsplatzplattformen verbunden waren, boten Angreifern mehr Möglichkeiten, auf sensible Informationen zuzugreifen.
Einige Einstellungen für verbundene Apps erlaubten ChatGPT außerdem, Lesevorgänge automatisch zu genehmigen, wenn das System sie als risikoarm einstufte. Daher erhielt das Opfer möglicherweise keine Bestätigungsanfrage, bevor der Assistent auf die Daten zugriff.
Check Point erklärte, die Schwachstelle könne einen KI-Assistenten praktisch in einen gezwungenen Insider verwandeln. Der Assistent besaß bereits legitimen Zugriff auf die Informationen des Opfers. Ein Angreifer konnte jedoch heimlich beeinflussen, wie er diese Berechtigungen nutzte.
Frühere Forschung deckte ein weiteres Datenleck auf
Die Entdeckung folgt auf eine frühere ChatGPT-Schwachstelle, die ebenfalls schädliche Prompts und verdeckte Kommunikation umfasste. Diese Schwachstelle ermöglichte es Angreifern, Informationen aus Unterhaltungen und hochgeladenen Dateien zu extrahieren und anschließend an einen externen Server zu senden.
Der neuere Angriff führte jedoch zu einer anderen Bedrohung. Statt lediglich einen Weg für den Abfluss von Daten aus der Plattform zu schaffen, ermöglichte er einem ChatGPT-Konto, Anweisungen an ein anderes Konto zu senden.
Das Risiko steigt, wenn KI-Assistenten Zugriff auf E-Mail-Konten, Cloud-Dateien und Arbeitsplatzsysteme erhalten. Umfangreichere Berechtigungen machen diese Werkzeuge nützlicher, können aber auch den möglichen Schaden erhöhen, wenn Angreifer ihr Verhalten manipulieren.
OpenAI schloss den Angriffsweg
OpenAI nahm den internen Artifactory-Dienst außer Betrieb, der bei der Untersuchung von Check Point eine Rolle spielte. Dadurch verschwand der gemeinsam genutzte Kommunikationskanal und der von den Forschern demonstrierte Angriffsweg wurde geschlossen.
Die Entdeckung verdeutlicht dennoch die Sicherheitsprobleme bei KI-Assistenten mit Zugriff auf verbundene Konten. Die Trennung zwischen Nutzern muss alle gemeinsam genutzten internen Dienste umfassen, insbesondere wenn ein Assistent im Namen eines Nutzers sensible Informationen abrufen kann.
0 Kommentare zu „ChatGPT-Schwachstelle ermöglichte Angreifern heimlichen Zugriff auf Gmail-Daten“