セキュリティ
研究者らによると、OpenAIの欠陥を悪用したフィッシングの罠により、従業員権限を備えた自律型の「企業内スパイ」を作り出すことが可能だったといいます
一見普通のChatGPTのリンクをクリックしただけで、攻撃者が制御するAIエージェントを企業のChatGPTワークスペース内に埋め込むことができた——OpenAIのワークスペース向けエージェント機能に発見された欠陥について、研究者らがそう報告しています。
セキュリティ企業Zenity Labsはこのバグを「AgentForger」と名付けました。同社の概念実証(PoC)では、被害者のChatGPTアカウント内で悪意あるワークスペースエージェントを密かに作成・設定・公開し、スケジュール実行まで仕込むことが可能だったとしています。
この手法が成立するには、被害者がエージェント機能を有効化しているワークスペースに所属し、かつエージェントを作成できる権限を持っている必要がありました。また、連携先アプリやアクションについても、組織の管理者によって許可されている必要がありました。
この手法は、パスワードやブラウザセッションを盗み出すものではなく、ChatGPTを騙して、従業員の連携アカウントや権限を通じて動作する自律型アシスタントを構築させてしまうというものでした。
被害者がOutlook、Teams、Slack、SharePoint、Google Driveなどのサービスをすでに連携させており、ワークスペースが該当するアクションを許可していた場合、Zenityによればエージェントはそれらも利用できたといいます。つまり、企業データを漁ったり、その従業員になりすましてメッセージを送信したりすることが可能で、しかも元のフィッシングメールが役目を終えたあとも、長期間動き続けることができたとZenityは説明しています。
脆弱性があったのは、メール、チャット、カレンダー、その他の業務アプリを横断して動作するAIアシスタントを立ち上げる機能である「エージェントビルダー」でした。Zenityは、一見普通のChatGPTリンクに埋め込まれた指示をこの機能が受け入れてしまうことを突き止めました。Zenityによると、被害者がリンクをクリックすると、ビルダーは攻撃者の意のままに動き出し、被害者が既存で連携していたコネクタを配線し、承認プロンプトを無効化し、新しいエージェントを公開したうえで、スケジュール実行に設定してしまうといいます。
ここから研究者らは、このエージェントを事実上の「企業内スパイ」に仕立て上げました。従来型のコマンド&コントロール(C2)インフラに接続する代わりに、このエージェントは単に、件名に「TASK」を含む攻撃者からのメールが被害者の受信箱に届いていないかを確認するだけでした。届いたメール1通1通が新たな指令となり、社内ファイルの検索や機密文書の収集、その結果をメールで送り返すといった動作を行っていたのです。
Zenityの共同創業者兼CTOであるMichael Bargury氏はThe Registerに対し、次のように語っています。「これは偽装されたリクエストではなく、偽装されたインサイダーそのものです。たった1回のクリックで、攻撃者は御社の従業員の身元とアクセス権限を持ち、しかもガードレールが外された、完全自律型のエージェントを社内に手に入れることになります。もはや攻撃者はデータを盗むために侵入する必要すらありません。インサイダーを偽装し、代わりにデータを取りに行かせればよいのです。これはエージェントの信頼性そのものが破綻している問題であり、既存のセキュリティ対策はそもそもこうした事態を想定して作られていません」
Zenityの概念実証シナリオには、Outlook、Slack、Teams、カレンダー、ファイルストレージを自動的に洗い出して組織内の人間関係やプロジェクトをマッピングする手法、チャットメッセージに紛れ込んだパスワードやAPIキーを探し出す手法、被害者自身のTeamsアカウントを使って説得力のあるフィッシングメッセージを送信する手法などが含まれていました。研究者らはさらに、ビジネスメール詐欺(BEC)型の誘導や、その他さまざまな形の従業員なりすましについても実演しています。
Zenityはこの問題を6月4日にBugcrowd経由でOpenAIに報告しました。研究者らによると、OpenAIは翌日にこの報告を確認し、その4日後には、脆弱性の悪用を可能にしていたURLパラメータを削除することで修正を完了しており、これは一般公開に先立って行われたといいます。
OpenAIはThe Registerからの質問に対し、即座には回答しませんでした。
バグそのものはすでに修正されましたが、AIエージェントが単に質問に答えるだけの存在から、企業システム全体にわたって実際の操作を行う存在へと進化していく中で、その攻撃対象領域はもはやソフトウェアというより、企業の従業員そのものに近い様相を呈し始めています。®
