Дефекты плагина ChatGPT раскрывали пользовательские данные и требовали исправлений. Исследователи безопасности нашли способы украсть информацию с помощью плагинов и завладеть учетными записями.
Эксперты по безопасности Salt Security выявили множество уязвимостей в плагинах ChatGPT, которые потенциально могут поставить под угрозу данные пользователей и привести к захвату учетных записей. Уязвимости, которые охватывают недостатки аутентификации OAuth и захват учетных записей без щелчка мыши, вызвали немедленную реакцию со стороны пострадавших разработчиков. Это открытие подчеркивает текущие проблемы в защите интерактивных платформ искусственного интеллекта от злоупотреблений.
Больше новостей в телеграм канале
Подробности об уязвимостях
Первая уязвимость, коренящаяся в процессе аутентификации OAuth, позволяет злоумышленникам устанавливать вредоносные плагины в учетные записи ChatGPT жертв. Создав плагин, который заставляет ChatGPT пересылать данные чата, злоумышленники могут получить доступ к конфиденциальной информации, передаваемой во время сеансов. Этот недостаток подчеркивает риски, связанные с предоставлением сторонним плагинам доступа к личным и конфиденциальным данным.
Другая существенная обнаруженная уязвимость связана с механизмом захвата учетной записи без щелчка, затрагивающим несколько плагинов. В частности, уязвимым оказался плагин AskTheCode, разработанный PluginLab.AI, который облегчает доступ к репозиториям GitHub. Злоумышленники, воспользовавшиеся этой уязвимостью, могут получить несанкционированный доступ к репозиториям пользователя на GitHub, что представляет серьезную угрозу безопасности для проектов разработки программного обеспечения.
Третья уязвимость связана с манипулированием перенаправлением OAuth, затрагивающим несколько плагинов, включая Charts от Kesem AI. Эту проблему можно было использовать с помощью специально созданной ссылки, обманным путем заставляя пользователей скомпрометировать свои учетные записи.
Бесплатный ChatGPT-4 turbo