Amaran tentang kebocoran data yang disimpan di Google Drive melalui ChatGPT

(Dan Tri) - Penyelidik keselamatan baru saja menemui kelemahan dalam ciri Penyambung OpenAI, membenarkan orang jahat mengekstrak data secara rahsia daripada akaun Google Drive melalui ChatGPT.

Dokumen yang dijangkiti boleh membocorkan data pada Google Drive melalui ChatGPT (Foto: Berwayar).

Perkara yang membimbangkan ialah kelemahan ini tidak memerlukan sebarang tindakan daripada pengguna, menimbulkan amaran baharu tentang keselamatan siber dalam konteks model kecerdasan buatan (AI) yang semakin dikaitkan dengan data peribadi.

Dokumen "Beracun" membawa kepada kebocoran data

Pada persidangan keselamatan Black Hat di Las Vegas (AS) pada 6 Ogos, dua pakar Michael Bargury dan Tamir Ishay Sharbat menunjukkan kaedah serangan yang dipanggil AgentFlayer .

Serangan ini mengeksploitasi kelemahan dalam Connectors – ciri yang menghubungkan ChatGPT dengan perkhidmatan luaran seperti Google Drive, Gmail atau Kalendar Microsoft.

"Pengguna tidak perlu melakukan apa-apa untuk digodam atau data mereka bocor. Kami telah membuktikan ia benar-benar sifar klik," kata Michael Bargury, CTO firma keselamatan Zenity.

Serangan bermula dengan penyerang berkongsi dokumen "beracun" ke Google Drive mangsa. Dokumen itu mengandungi gesaan berniat jahat kira-kira 300 patah perkataan, ditulis dalam saiz fon putih 1 – hampir tidak dapat dilihat dengan mata kasar tetapi masih boleh dibaca oleh komputer.

Di permukaan, teks itu menyamar sebagai nota mesyuarat. Sebenarnya, ia mengandungi arahan untuk ChatGPT mencari dan mengekstrak kunci API sensitif daripada akaun Google Drive mangsa.

Daripada meringkaskan kandungan seperti yang diminta pengguna, gesaan tersembunyi ini memaksa AI menghantar kunci API yang ditemuinya ke pelayan luaran melalui pautan Markdown. Data diekstrak sebagai imej, membolehkan pelayan menangkap keseluruhan maklumat.

OpenAI telah menanganinya, tetapi risiko kekal

Selepas menerima laporan Bargury, OpenAI dengan pantas melaksanakan langkah-langkah mitigasi. "Adalah penting untuk membangunkan pertahanan yang teguh terhadap serangan suntikan perisian hasad yang pantas," kata Andy Wen, pengarah kanan pengurusan produk keselamatan di Google Workspace.

Walaupun ditambal, insiden itu menyerlahkan potensi risiko menyambungkan model bahasa besar (LLM) kepada sistem luaran. Apabila AI menjadi lebih terintegrasi dalam kehidupan dan kerja kita, permukaan serangan yang boleh dieksploitasi oleh penggodam juga berkembang.

Pakar memberi amaran bahawa suntikan segera tidak langsung boleh menjadi ancaman yang serius, membolehkan penyerang mengawal banyak sistem pintar, daripada rumah pintar kepada infrastruktur perusahaan.

"Menyambungkan LLM kepada sumber data luaran adalah berkuasa, tetapi seperti yang sering berlaku dengan AI, dengan lebih kuasa membawa lebih banyak risiko," Bargury menyimpulkan.

Sumber: https://dantri.com.vn/cong-nghe/canh-bao-lo-du-lieu-luu-tru-tren-google-drive-thong-qua-chatgpt-20250807155706949.htm