Hozzáférések
ShadowLeak: a ChatGPT kutatóügynöke a Gmailből szivárogtatott
2025 szeptemberében a Radware bemutatta, hogyan vehette rá egy rejtett utasításokat tartalmazó e-mail a ChatGPT Deep Research ügynökét, hogy a postafiók személyes adatait közvetlenül az OpenAI szervereiről egy idegen címre küldje.
Az OpenAI 2025 februárjában mutatta be a ChatGPT Deep Research funkcióját: ez önállóan dolgozó AI-ügynök, amely a felhasználó kérésére átnézi a webet vagy – ha összekötötték vele – a postafiókot, és részletes összefoglalót készít. A Radware biztonsági cég 2025. szeptember 18-án olyan hibát hozott nyilvánosságra benne, amelynek kihasználásához a felhasználónak semmit sem kellett tennie. A támadást ShadowLeaknek nevezték el.
A támadó olyan e-mailt küldött, amelynek kódjában az olvasó elől elrejtett utasítások voltak, apró betűvel vagy fehér háttéren fehér szöveggel. Ezek arra szólították fel az ügynököt, hogy gyűjtse ki a postafiókból a személyes adatokat, és küldje el őket egy, a támadó által megadott címre; a szöveg hamis felhatalmazásra hivatkozva és sürgetve próbálta megkerülni az ügynök biztonsági ellenőrzéseit. Amikor a felhasználó később arra kérte az ügynököt, hogy nézze át a leveleit, az ezt a levelet is elolvasta, követte az utasításokat, és megerősítés kérése nélkül elküldte például a neveket és a címeket.
A Radware szerint az volt a különlegessége, hogy az adat nem a felhasználó gépéről, hanem közvetlenül az OpenAI felhőjéből távozott, így sem a felhasználó, sem a szervezet biztonsági eszközei nem láthattak belőle semmit. A módszer a cég szerint a Deep Research más összekötéseivel – például a Google Drive-val, a Dropboxszal, a SharePointtal, az Outlookkal vagy a Teamsszel – is működhetett. A Radware június 18-án jelezte a hibát; az OpenAI augusztus elején kijavította, szeptember 3-án pedig lezártnak jelölte. Arra a kérdésre, hogy kihasználta-e valaki, az OpenAI a The Register megkeresésére nem válaszolt.
Mit tanulhatunk belőle?
Minél több mindenhez fér hozzá egy AI-ügynök – levelekhez, dokumentumokhoz, a webhez –, annál több lehetősége van egy idegennek, hogy a neki küldött szöveggel irányítsa; és ha a kiszivárgás a szolgáltató felhőjében történik, a saját védelmünk nem lát rá. Az ügynökök ettől még hasznosak lehetnek, ha a hozzáférésük a feladathoz igazodik. A Confiellában a modell nem fér hozzá levelekhez, fájlokhoz vagy a webhez: csak azt a kérést kapja meg, amelyet a felhasználó átnézett és jóváhagyott. Más ügynöknek érdemes külön postafiókot vagy mappát adni, és ügyféllevelezést csak akkor összekötni vele, ha a feladat tényleg megkívánja.
Források
- Security Affairs: ShadowLeak: Radware Uncovers Zero-Click Attack on ChatGPT
- The Register: OpenAI plugs ShadowLeak bug in ChatGPT that let miscreants raid inboxes
A cikk a felsorolt nyilvános források alapján készült. Ha hibát talál benne, írjon nekünk: [email protected]