A Google Naptár meghívója feltörte a ChatGPT biztonságát – így működik a prompt injection támadás

Egy biztonsági kutató sikeresen bemutatott egy aggodalomra okot adó biztonsági rést, amely a mesterséges intelligencia és a népszerű Google-szolgáltatások integrációjából ered. A bemutatott technika során egy rosszindulatú, speciálisan megtervezett Google Naptár meghívó képes volt megtörni a ChatGPT biztonsági korlátait. Ez a jelenség kiemeli, hogy az okos asszisztensek és külső alkalmazások összekapcsolása milyen kihívások elé állíthatja a felhasználói adatvédelem terén.

A támadás lényege, hogy a mesterséges intelligencia, jelen esetben a ChatGPT, feldolgozta a naptármeghívóban rejlő, rosszindulatú utasításokat. Ezek az utasítások, amelyeket prompt injectionnak hívunk, arra kényszerítették az AI-modellt, hogy információkat szolgáltasson, amelyekhez egyébként nem lett volna joga. A probléma akkor vált aktívvá, amikor a felhasználó engedélyezte a Google-integrációt, ezzel megnyitva egy kaput a saját adatai felé.

Az incidens nem csupán egy elméleti lehetőség, hanem egy gyakorlatban is működő exploit, amely aláhúzza a mesterséges intelligencia rendszerek sebezhetőségét. A kutató célja az volt, hogy rávilágítson a technológiai óriásvállalatok által fejlesztett eszközökben rejlő potenciális hibákra, mielőtt azok tömeges méreteket öltenek és komolyabb károkat okoznak.

A támadás működési mechanizmusa

A rosszindulatú naptármeghívó egy álcázott prompt injekciót tartalmazott, amely direkt arra szolgált, hogy megzavarja a ChatGPT normál működését. Amikor az AI feldolgozta a meghívó részleteit, a benne rejlő kód utasította a rendszert, hogy keressen rá specifikus információkra a felhasználó Gmail-fiókjában. A ChatGPT, amely ekkor már hozzáfért a felhasználó Google-fiókjához az engedélyezett kapcsolatok miatt, eleget tett ezeknek az utasításoknak.

Az asszisztens nem képes megkülönböztetni a felhasználó által adott legitim parancsokat és a külső forrásból, például egy naptárból érkező rosszindulatú utasításokat. Ez a kevert parancsörvény (mixed instruction flow) teremtette meg a sebezhetőséget. A modell végrehajtotta a kérést, és privát email-ek tartalmát kezdte el kinyerni, amit aztán a támadó számára továbbított volna.

A biztonsági rés kihasználásához tehát két dolog szükséges volt egyszerre. Először is, a felhasználónak aktívvá kell tennie a Google Connectors szolgáltatást a ChatGPT-n belül, ami lehetővé teszi az adatok cseréjét. Másodszor, a felhasználónak elfogadnia kell, vagy akár csak megnyitnia kell azt a speciálisan kreált naptármeghívót, amely elindítja a rosszindulatú kód futtatását.

Lehetséges következmények és védekezés

Ennek a biztonsági résnek a sikeres kihasználása komoly adatvédelmi incidenshez vezethet. A támadó hozzáférhet olyan bizalmas információkhoz, mint személyes levelezések, munkával kapcsolatos dokumentumok vagy akár pénzügyi adatok. Ez nem csupán az egyén privát szféráját sérti meg, de vállalati környezetben akár ipari kémkedéshez is vezethet, ha a munkavállalók használják az AI-t a mindennapi munkájuk során.

A legjobb védekezés a felvilágosultság és a óvatosság. A felhasználóknak nagyon körültekintően kell kezelniük a külső alkalmazásokhoz való hozzáférés engedélyezését. Ajánlott alaposan átgondolni, hogy mely szolgáltatások kapcsolódjanak össze az AI-asszisztenssel, és csak abszolút megbízható forrásokból érkező naptármeghívókat fogadjanak el. A gyanús vagy ismeretlen feladóktól érkező meghívókat azonnal törölni kell.

A fejlesztők részéről pedig szükséges az olyan szigorúbb védelmi mechanizmusok implementálása, amelyek jobban szűrik a különböző forrásokból (email, naptár, dokumentumok) érkező utasításokat. Létre kell hozni egy olyan rendszert, amely automatikusan képes felismerni és semlegesíteni a prompt injection támadásokat, ezzel védve a felhasználók adatait és a mesterséges intelligencia integritását.

Forrás: TomsHardware.com ↗̱