Lỗ hổng ChatGPT cho phép kẻ tấn công đánh cắp dữ liệu Gmail thông qua ‘prompt’ ẩn

Các chuyên gia từ Check Point Research vừa công bố một báo cáo về lỗ hổng bảo mật nghiêm trọng trên ChatGPT. Theo đó, chỉ cần một đoạn mã lệnh (prompt) được cài cắm khéo léo vào cuộc hội thoại, kẻ tấn công có thể điều khiển ChatGPT thực hiện các tác vụ ngầm trong khi vẫn phản hồi người dùng một cách bình thường.

Trong kịch bản tấn công thử nghiệm (PoC), kẻ tấn công đã lợi dụng lỗ hổng này để đọc dữ liệu từ tài khoản Gmail được kết nối với ChatGPT và chuyển tiếp thông tin đó sang một tài khoản ChatGPT khác thông qua một kênh liên lạc ẩn. Đáng chú ý, người dùng hoàn toàn không nhận được bất kỳ cảnh báo nào về hoạt động này.

Cơ chế tấn công

Lỗ hổng này cho phép kẻ tấn công tận dụng các quyền truy cập mà phiên làm việc (session) của người dùng đang sở hữu, bao gồm dữ liệu, các công cụ tích hợp và quyền hạn ứng dụng. Các đoạn mã độc có thể được đưa vào thông qua ba con đường chính: prompt do người dùng dán vào, các cuộc hội thoại ChatGPT được chia sẻ, hoặc thông qua các Custom GPT được thiết lập sẵn các chỉ dẫn ẩn.

Khi được kích hoạt, ChatGPT sẽ chạy hai luồng xử lý song song trong cùng một lượt phản hồi. Trong khi một luồng trả lời câu hỏi của người dùng, luồng còn lại sẽ âm thầm thực hiện các tác vụ của kẻ tấn công. Do được thiết lập để tách biệt, các hành động ngầm này không bao giờ xuất hiện trong giao diện chat hiển thị cho người dùng.

Lỗ hổng từ dịch vụ nội bộ

Theo phân tích, nguyên nhân nằm ở cách ChatGPT quản lý các container chạy mã. Mặc dù các container này được thiết kế để cô lập, chúng vẫn có thể giao tiếp với một dịch vụ nội bộ (JFrog Artifactory) dùng để tải các thư viện Python hoặc npm. Kẻ tấn công đã lợi dụng khả năng lưu trữ và đọc các thuộc tính (properties) của tệp tin trên dịch vụ này để tạo ra một ‘bảng nhớ tạm’ chung, cho phép các container từ các tài khoản khác nhau trao đổi dữ liệu trái phép.

Phản hồi từ OpenAI

Check Point cho biết họ đã thông báo lỗ hổng này cho OpenAI. Phía OpenAI xác nhận đã vô hiệu hóa dịch vụ nội bộ bị lợi dụng để làm kênh truyền tin. Hiện tại, người dùng không cần thực hiện bất kỳ thao tác cập nhật nào vì đây là lỗi phía server. Tuy nhiên, người dùng được khuyến cáo nên kiểm tra kỹ các quyền truy cập của ứng dụng bên thứ ba và cân nhắc sử dụng tùy chọn ‘Always ask’ (Luôn hỏi) đối với các hành động nhạy cảm trong cài đặt ChatGPT.

Nguồn tham khảo: The Hacker News