Grafanaがユーザーデータをリークする可能性があったAIバグをパッチ

出典：GK Images via Alamy Stock Photo

可視性プラットフォームGrafanaの問題により、攻撃者はそのAI機能をトリックして機密データをリークさせることができた可能性があります。

Grafanaは人気のある可視性プラットフォームであり、財務、テレメトリー、運用、インフラストラクチャ、顧客など、ビジネスデータを収集・追跡するために使用されています。プラットフォームの性質上、組織の最も価値のある情報の中心に本質的に接続されているため、Grafanaインスタンスを危険にさらすことは壊滅的な結果になる可能性があります。 

AI セキュリティベンダーのNomaは本日研究を発表し、「GrafanaGhost」と呼ばれる間接的なプロンプトインジェクション攻撃について報告しました。この攻撃により、脅威行為者がデータを流出させることが可能になる可能性がありました。 

この攻撃は、GrafanaのAIコンポーネントが情報をどのように処理するかに依存しています。簡潔に言うと、攻撃者は攻撃者が管理するWebページに悪意のある命令を隠し、命令の提示方法を巧妙に操作することで、AIはそれらの命令を無害なものとして取り込み、無意識のうちに要求された機密データを攻撃者が管理するサーバーに送信します。 

GrafanaのAIアシスタントのユーザーが攻撃者が作成したURLパスにアクセスすると、悪意のある画像ファイルが読み込まれ始めるとすぐにGrafanaがプロンプトを取り込みます。

GrafanaGhostを可能にしていたコア技術上の問題はパッチされました。

GrafanaGhostの仕組み

プロンプトインジェクションは、ユーザーがGrafanaのAIコンポーネントと相互作用できる可能性のある場所を特定したいというNomaの希望から生じました。ユーザーに面した何かはプロンプトインジェクション攻撃の機会となります。

トラブルシューティングの後、Nomaは間接プロンプトが処理される場所を見つけ、悪意のあるコマンドを作成する実行可能な手段として画像タグを特定しました。外部画像にはこのような攻撃を防ぐための保護がありますが、研究者はプロトコル相対URLを使用してドメイン検証を迂回し、「INTENT」キーワードを使用してAIモデルの安全装置を無効化することで、当時Grafanaが外部プロンプトを無害なものとして見なすようにする保護を回避することができました。 

適切なセットアップがあれば、画像のレンダリングが始まるとすぐに、被害者が気付かないうちにデータが流出します。 

Noma SecurityのセキュリティリサーチリーダーであるSasi Leviは、Dark Readingに対し、これは必ずしも悪意のあるページを読み込むリンクをクリックさせる必要はないと述べています。

「攻撃者は、GrafanaのAIコンポーネントが後に取得して処理する場所に間接プロンプトを保存する必要があります」と彼は述べています。「そのペイロードがデータストアに配置されると、それは待機し、ユーザーがGrafanaインスタンスとの通常のやり取り（ログエントリの閲覧など）を行うたびに自動的に実行されます。ユーザーはフィッシング試行の対象ではなく、無意識のトリガーです。それがこの攻撃を非常に狡猾にしている理由です。」

Nomaはグラファナの対応を高く評価しました。Nomaが責任あるディスクロージャープロトコルに従った後、Grafana は「問題にすぐに対応し、調査結果の検証のために私たちと密接に協力し、ユーザーを保護するためにできるだけ早く修正をロールアウトしました。」

GrafanaGhostに対するGrafanaの対応

Grafana Labsのチーフインフォメーションセキュリティオフィサー（CISO）Joe McManus は、Dark Readingに電子メールで、Nomaの研究がGrafanaのMarkdownコンポーネント内の画像レンダラーの問題を明らかにし、それが「迅速にパッチされた」と述べています。

しかし、同社はNomaが説明した「ゼロクリック」であるという主張や、静かに自動的にバックグラウンドで動作する可能性があるという主張に異議を唱えています。

「この悪用の成功には、かなりのユーザーインタラクションが必要になったはずです。具体的には、エンドユーザーはAIアシスタントに対して、ログに含まれる悪意のある命令に従うよう繰り返し指示しなければならず、AIアシスタントがユーザーに悪意のある命令を認識させた後でも指示を続ける必要がありました。」とMcManusは述べています。「このバグが実際に悪用されたという証拠はなく、Grafana Cloudからデータがリークされていないことを強調します。 

Dark Readingはコメントを求めてNoma Securityに連絡しました。