Una falla di ChatGPT permette di estrapolare dati da Gmail. La scoperta di Checkpoint

Un bug in JFrog Artifactory permetteva a un malintenzionato di estrarre dati da un account Gmail connesso a ChatGPT senza che l'utente se ne accorgesse. A scoprirlo gli analisti di Check Point Research, che hanno subito contattato OpenAI. Il problema ora è risolto, ma la falla evidenzia i potenziali pericoli degli assistenti di IA connessi a servizi esterni.

Come un bug di ChatGPT poteva esporre dati di Gmail a insaputa dell'utente

La vulnerabilità riguardava i container isolati usati da ChatGPT per eseguire codice, cioè le sandbox che vengono avviate quando una conversazione deve svolgere operazioni di questo tipo.

I container di utenti diversi non potevano comunicare direttamente, ma potevano tutti raggiungere la stessa istanza interna di JFrog Artifactory, utilizzata per distribuire pacchetti software. Check Point ha scoperto che, attraverso le proprietà associate agli oggetti conservati in Artifactory, un container poteva scrivere dati che un altro container, appartenente a un account completamente diverso, era in grado di leggere. L’attaccante poteva quindi lasciare in questa sorta di memoria condivisa un comando destinato alla vittima.

Per innescare l’attacco era poi necessario far arrivare alla sessione della vittima un’istruzione che le dicesse di controllare quel canale: poteva essere nascosta in un prompt malevolo, in una conversazione condivisa tramite link oppure nelle istruzioni di un GPT personalizzato.

Alla successiva normale interazione dell’utente, la sessione poteva recuperare il comando dell’attaccante ed eseguirlo in parallelo alla richiesta visibile. Se l’utente aveva collegato Gmail, Drive o altri servizi, ChatGPT poteva sfruttare i permessi già concessi per leggere i dati richiesti e depositare il risultato nello stesso canale condiviso, da cui l’attaccante lo poteva recuperare.

Non solo Gmail: tutti i servizi connessi erano potenzialmente compromessi

I ricercatori di Check Point Research evidenziano un aspetto molto importante: l'attaccante non aveva la possibilità di accedere a informazioni riservate sull'account Gmail della vittima. Tutti i servizi connessi a ChatGPT, inclusi Google Drive, Microsoft Teams, GitHub erano potenzialmente violabili con questa tecnica.

L'aspetto più grave, come detto, è che la vittima non avrebbe avuto alcun modo di rendersi conto di cosa stava accadendo. 

Questo porta a una più profonda riflessione sulla sicurezza dell'IA e dei servizi a essa connessi. "Questa vulnerabilità ha dei punti di contatto con l’incidente di Hugging Face", spiegano i ricercatori di Check Point. "I due attacchi non sono identici e non hanno utilizzato la stessa tecnica, ma entrambi hanno avuto origine nello stesso servizio condiviso alla base di ChatGPT, il che rivela qualcosa di più significativo rispetto a ciascuna delle due scoperte prese singolarmente. Quando gli agenti di IA operano su un’infrastruttura interna condivisa, tale infrastruttura diventa di per sé un obiettivo degno di essere attaccato, e questa ricerca è un ulteriore dato che ne illustra il motivo".

"Questa ricerca dimostra che la sfida alla sicurezza legata all’IA non riguarda più solo il modello in sé, ma anche l’accesso e la fiducia che gli concediamo”, afferma Eli Smadja, Head of Research di Check Point Research. “Man mano che gli assistenti basati sull’IA diventano sempre più integrati con i sistemi aziendali e i dati sensibili, le organizzazioni devono partire dal presupposto che qualsiasi funzionalità autorizzata possa essere oggetto di un uso improprio. Un approccio incentrato sulla prevenzione, combinato con visibilità, governance e protezione in fase di esecuzione, è essenziale per garantire che l’IA rimanga un fattore abilitante per il business piuttosto che una nuova fonte di rischio informatico. Le organizzazioni che manterranno un vantaggio competitivo saranno quelle che proteggeranno le interazioni con l’IA prima che gli attaccanti possano sfruttarle".