Σοβαρή ευπάθεια στο ChatGPT και σε μια σειρά από βοηθούς τεχνητής νοημοσύνης: Οι χρήστες δέχονται απάτες, διαρρέουν πληροφορίες...

Από αυτήν την ευπάθεια, οι χάκερ μπορούν να κάνουν το ChatGPT να προτείνει στους χρήστες να κατεβάσουν λογισμικό που περιέχει ιούς, να δώσουν ψευδείς επιχειρηματικές συμβουλές, ακόμη και να έχουν πρόσβαση σε αρχεία στο Google Drive...

Η ευπάθεια «Zero Click» επιτρέπει ακόμη και σε χάκερ να ελέγχουν το ChatGPT για να ενεργούν όπως επιθυμούν - Φωτογραφία απεικόνισης: AFP

Η ισραηλινή εταιρεία κυβερνοασφάλειας Zenity μόλις αποκάλυψε την πρώτη ευπάθεια «Zero Click» που ανακαλύφθηκε στην υπηρεσία ChatGPT της OpenAI.

Αυτός ο τύπος επίθεσης δεν απαιτεί από τους χρήστες να εκτελέσουν οποιαδήποτε ενέργεια, όπως κλικ σε έναν σύνδεσμο, άνοιγμα ενός αρχείου ή συμμετοχή σε οποιαδήποτε σκόπιμη αλληλεπίδραση, αλλά μπορεί να αποκτήσει πρόσβαση σε λογαριασμούς και να διαρρεύσει ευαίσθητα δεδομένα.

Ο Mikhail Bergori, συνιδρυτής και CTO της Zenity, κατέδειξε από πρώτο χέρι πώς ένας χάκερ με μόνο τη διεύθυνση email ενός χρήστη θα μπορούσε να πάρει τον πλήρη έλεγχο των συνομιλιών - συμπεριλαμβανομένου του περιεχομένου του παρελθόντος και του μέλλοντος, να αλλάξει τον σκοπό της συνομιλίας, ακόμη και να χειραγωγήσει το ChatGPT για να ενεργήσει προς όφελός του.

Στην παρουσίασή τους, οι ερευνητές έδειξαν ότι ένα παραβιασμένο ChatGPT θα μπορούσε να μετατραπεί σε έναν «κακόβουλο παράγοντα» που λειτουργεί κρυφά εναντίον των χρηστών. Οι χάκερ θα μπορούσαν να κάνουν το ChatGPT να προτείνει στους χρήστες να κατεβάσουν λογισμικό που έχει μολυνθεί από ιό, να δώσουν παραπλανητικές επιχειρηματικές συμβουλές ή να αποκτήσουν πρόσβαση σε αρχεία που είναι αποθηκευμένα στο Google Drive, εάν ο λογαριασμός του χρήστη είναι συνδεδεμένος. Όλα αυτά συμβαίνουν εν αγνοία του χρήστη.

Η ευπάθεια διορθώθηκε πλήρως μόνο αφού η Zenity ειδοποίησε το OpenAI.

Εκτός από το ChatGPT, η Zenity έχει επίσης επιδείξει παρόμοιες επιθέσεις εναντίον άλλων δημοφιλών πλατφορμών βοηθών τεχνητής νοημοσύνης. Στο Copilot Studio της Microsoft, οι ερευνητές ανακάλυψαν έναν τρόπο διαρροής ολόκληρων βάσεων δεδομένων CRM.

Για το Salesforce Einstein, οι χάκερ μπορούν να δημιουργήσουν ψεύτικα αιτήματα εξυπηρέτησης για να ανακατευθύνουν όλες τις επικοινωνίες των πελατών σε διευθύνσεις email που βρίσκονται υπό τον έλεγχό τους.

Το Google Gemini και το Microsoft 365 Copilot μετατράπηκαν επίσης σε «εχθρικούς δρώντες», πραγματοποιώντας επιθέσεις ηλεκτρονικού «ψαρέματος» (phishing) και διαρρέοντας ευαίσθητες πληροφορίες μέσω email και συμβάντων ημερολογίου.

Σε ένα άλλο παράδειγμα, το εργαλείο ανάπτυξης λογισμικού Cursor, όταν ενσωματώθηκε με το Jira MCP, αξιοποιήθηκε επίσης για την κλοπή διαπιστευτηρίων προγραμματιστή μέσω ψεύτικων "εισιτηρίων".

Η Zenity ανέφερε ότι ορισμένες εταιρείες, όπως η OpenAI και η Microsoft, κυκλοφόρησαν γρήγορα ενημερώσεις κώδικα αφού ειδοποιήθηκαν. Ωστόσο, άλλες αρνήθηκαν να αντιμετωπίσουν το ζήτημα, υποστηρίζοντας ότι η συμπεριφορά ήταν ένα «χαρακτηριστικό σχεδιασμού» και όχι ένα κενό ασφαλείας.

Η μεγάλη πρόκληση τώρα, σύμφωνα με τον Μιχαήλ Μπεργκόρι, είναι ότι οι βοηθοί τεχνητής νοημοσύνης δεν εκτελούν απλώς απλές εργασίες, αλλά γίνονται «ψηφιακές οντότητες» που αντιπροσωπεύουν τους χρήστες - ικανές να ανοίγουν φακέλους, να στέλνουν αρχεία και να έχουν πρόσβαση σε email. Προειδοποίησε ότι αυτό είναι σαν ένας «παράδεισος» για τους χάκερ, με τόσα πολλά σημεία εκμετάλλευσης.

Ο Μπεν Κάλιγκερ, συνιδρυτής και διευθύνων σύμβουλος της Zenity, τόνισε ότι η έρευνα της εταιρείας δείχνει ότι οι τρέχουσες μέθοδοι ασφαλείας δεν είναι πλέον κατάλληλες για τον τρόπο λειτουργίας των βοηθών τεχνητής νοημοσύνης. Κάλεσε τους οργανισμούς να αλλάξουν την προσέγγισή τους και να επενδύσουν σε εξειδικευμένες λύσεις, ώστε να είναι σε θέση να ελέγχουν και να παρακολουθούν τις δραστηριότητες αυτών των «πρακτόρων».

Η Zenity ιδρύθηκε το 2021. Αυτή τη στιγμή απασχολεί περίπου 110 υπαλλήλους παγκοσμίως, εκ των οποίων οι 70 εργάζονται στο γραφείο της στο Τελ Αβίβ. Στους πελάτες της Zenity περιλαμβάνονται πολλές εταιρείες του Fortune 100, ακόμη και του Fortune 5.

Επιστροφή στο θέμα

ΒΝΑ

Πηγή: https://tuoitre.vn/lo-hong-nghiem-trong-tren-chatgpt-va-loat-tro-ly-ai-nguoi-dung-bi-lua-dao-lo-thong-tin-20250811131018876.htm