新たに公表され、現在は修正済みのChatGPTの分離機構の欠陥により、攻撃者が被害者のセッションからGmailデータ、チャット履歴、アップロード済みファイル、その他の連携アプリのコンテンツにアクセスし、それを別の攻撃者が管理するアカウントへ密かに転送できる可能性があったことが判明しました。
Check Point Researchは、研究者Alexey Bukhteyev氏の主導により、分離されたChatGPTのコード実行コンテナが、内部のソフトウェアパッケージサービスを介して間接的に通信できることを発見しました。
この問題は、実質的にアカウントをまたぐ隠れたコマンドチャネルを作り出しており、悪意ある指示によって被害者のChatGPTセッションを密かなデータ収集エージェントに変えることが可能でした。
ChatGPTはコード実行や解析タスクにサンドボックス化されたコンテナを使用しています。これらの環境は公共インターネットへのアクセスを持たないよう設計されており、異なるユーザー、会話、アカウント間で直接通信できないようにすることを目的としていました。
しかし、これらのコンテナはPython、npm、その他のソフトウェア依存関係を取得するために使用される内部のJFrog Artifactoryインスタンスにアクセス可能でした。
Check Pointによると、このサービスはArtifactoryのItem Management API操作を公開しており、コンテナの認証情報を使ってキャッシュされたリポジトリファイルに関連付けられたメタデータプロパティを添付・取得できる状態になっていました。
Alexey Bukhteyev氏は、あるChatGPTアカウントに属するコンテナがアイテムに書き込んだプロパティを、別のアカウント配下のコンテナが読み取れることを発見しました。これにより、攻撃者は変更可能なアイテムプロパティを共有クリップボードのように利用できてしまいます。
このチャネルはテキストを直接扱えるほか、Base64でエンコードされたバイナリデータにも対応していました。大きなコンテンツはチャンクに分割して複数のプロパティキーに割り当て、受信側のコンテナで再構成することも可能でした。
コンテナ同士が直接通信することはできないものの、共有された内部サービスが意図しない双方向通信レイヤーとして機能してしまっていたのです。
Check Pointは、攻撃者が共有されたChatGPTの会話、貼り付けられたプロンプト、あるいはカスタムGPTの隠れた設定に短い悪意ある指示を埋め込めることを実証しました。
この指示が被害者の会話コンテキストに存在すると、ユーザーの目に見えるリクエストと並行して、攻撃者が用意した2つ目の隠れたタスク群をChatGPTが処理するよう仕向けることができました。
概念実証(PoC)では、被害者が共有された会話を開き、通常のメッセージを送信しました。ChatGPTは目に見えるクエリに対して通常の応答を返す一方で、同時に隠れたチャネルを確認し、攻撃者のタスクの有無をチェックしていました。
この隠れたタスクは、被害者が連携済みのGmailアカウントにアクセスし、メール情報を取得したうえで、その結果をアカウント横断チャネル経由で送り返すようChatGPTに指示するものでした。目に見える応答には、並行して行われたタスクや抽出されたデータは一切表示されませんでした。
唯一の潜在的な手がかりは、読み取り操作がすでに完了した後に応答の上部に表示される「Talked to Gmail」というラベルだけでした。
研究者たちは、この影響がGmailにとどまらないと警告しています。侵害されたセッションからは、そのユーザーに対してすでに認可されている連携ツール、ファイル、チャットコンテキスト、外部サービスであれば、Google Drive、Microsoft Teams、GitHubを含め、何にでもアクセスできる可能性があります。
ChatGPTのデフォルトの連携アプリ権限設定では、リスクの低い読み取り操作は個別の承認プロンプトなしで実行される場合があります。
このモデルは正規利用時の手間を減らす一方で、攻撃者がAIを説得して認可されていない第三者のために認可済みの操作を実行させるプロンプトインジェクションのシナリオにおいて、被害の影響を増大させる可能性があります。
この一件は、エージェント型AIセキュリティにおける重要な教訓を浮き彫りにしています。すなわち、ネットワークのサンドボックス化だけでは不十分だということです。内部API、ランタイムの認証情報、共有メタデータ、パッケージインフラ、そして連携アプリケーションのすべてにおいて、厳格なテナント分離と最小権限のアクセス制御を徹底する必要があります。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検知率を58%向上。TIフィードを統合し、貴社のSOCにご活用ください
翻訳元: https://cyberpress.org/chatgpt-flaw-steal-gmail-data-across-user-accounts/
