Nova pesquisa expõe riscos de segurança em plug-ins ChatGPT

Nova pesquisa expõe riscos de segurança em plug-ins ChatGPT. Pesquisadores de segurança descobriram falhas críticas de segurança nos plug-ins ChatGPT. 

Ao explorar essas falhas, os invasores podem assumir o controle da conta de uma organização em plataformas de terceiros e acessar dados confidenciais do usuário, incluindo informações de identificação pessoal (PII). 

“As vulnerabilidades encontradas nesses plug-ins ChatGPT estão disparando alarmes devido ao risco aumentado de roubo de informações proprietárias e à ameaça de ataques de controle de contas”, comentou Darren Guccione, CEO e cofundador da Keeper Security .

“Cada vez mais, os funcionários estão inserindo dados proprietários em ferramentas de IA – incluindo propriedade intelectual, dados financeiros, estratégias de negócios e muito mais – e o acesso não autorizado por um ator mal-intencionado pode ser paralisante para uma organização.

Em novembro de 2023, o ChatGPT introduziu um novo recurso chamado GPTs, que operam de forma semelhante aos plug-ins e apresentam riscos de segurança semelhantes, agravando ainda mais o cenário de vulnerabilidade.

Em um novo comunicado publicado hoje, a equipe de pesquisa da Salt Security identificou três tipos de vulnerabilidades nos plug-ins ChatGPT . Em primeiro lugar, foram descobertas vulnerabilidades no próprio processo de instalação do plug-in, permitindo que invasores instalassem plug-ins maliciosos e potencialmente interceptassem mensagens de usuários contendo informações proprietárias.

Em segundo lugar, foram encontradas falhas no PluginLab, uma estrutura para o desenvolvimento de plug-ins ChatGPT, que poderiam levar ao controle de contas em plataformas de terceiros, como o GitHub. 

Por fim, foram identificadas vulnerabilidades de manipulação de redirecionamento OAuth em vários plug-ins, permitindo que invasores roubassem credenciais de usuários e executassem o controle de contas.

“Ferramentas generativas de IA como o ChatGPT cativaram rapidamente a atenção de milhões de pessoas em todo o mundo, ostentando o potencial de melhorar drasticamente a eficiência tanto nas operações comerciais quanto na vida humana diária”, disse Yaniv Balmas, vice-presidente de pesquisa da Salt Security. 

“À medida que mais organizações aproveitam este tipo de tecnologia, os atacantes estão a dinamizar demasiado os seus esforços, encontrando formas de explorar estas ferramentas e, subsequentemente, obter acesso a dados sensíveis.”

Seguindo práticas de divulgação coordenadas, a Salt Labs colaborou com a OpenAI e fornecedores terceirizados para remediar esses problemas prontamente, mitigando o risco de exploração em estado selvagem.

As equipes de segurança podem fortalecer suas defesas contra essas vulnerabilidades com uma abordagem multicamadas”, explicou Sarah Jones, analista de pesquisa de inteligência contra ameaças cibernéticas da Critical Start . Isso inclui:

  • Implementando instalação baseada em permissão
  • Apresentando a autenticação de dois fatores
  • Educar os usuários sobre código e cuidado com links
  • Monitorando a atividade do plugin constantemente
  • Assinando avisos de segurança para atualizações

Fonte: Infosecurity-Magazine

Veja também:

Sobre mindsecblog 2553 Artigos
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.

13 Trackbacks / Pingbacks

  1. NIC.br realiza webinário gratuito
  2. 133.000+ dispositivos Fortinet ainda vulneráveis ​​a bug crítico
  3. Ataque mostra riscos de navegadores darem acesso à GPU a sites
  4. Vulnerabilidade do chip Apple M-Series decorre do design do silício
  5. Por que o CNCiber é essencial para o Brasil?
  6. 10 erros de colaboradores que afetam a segurança das empresas.
  7. 29% dos ciberataques tem APIs como principal alvo
  8. De IA à computação em nuvem: 7 tendências para SI em 2024  
  9. CISA e FBI lançam guia para responder a ataques DDoS
  10. Quais são os riscos da segurança cibernética e como evitá-los?
  11. CISA comunicado sobre vulnerabilidade do WebAccess/SCADA
  12. Entenda o que é Spillage na Cibersegurança!
  13. O que é um ataque cibernético e como se manter seguro ?

Deixe sua opinião!