MÜNCHEN. Sicherheitsforscher von Check Point Research haben bei Tests mit ChatGPT einen verdeckten Kanal zwischen den Codeausführungs-Containern zweier getrennter Nutzerkonten gefunden. Über diesen Kanal ließen sich aus einer fremden Sitzung heraus der Gesprächsverlauf, Dateien und Inhalte verbundener Apps auslesen. In einem Testfall rief ChatGPT die E-Mail-Daten eines Opfers über dessen verbundenes Gmail-Konto ab und übermittelte sie an die Sitzung des Angreifers.
Ausgangspunkt war laut Check Point die Art, wie ChatGPT Softwarepakete bezieht. Statt den isolierten Containern direkten Internetzugang zu geben, leitet OpenAI Paketanfragen über eine interne JFrog-Artifactory-Instanz. Container verschiedener Konten erreichen damit denselben internen Dienst. Die Forscher stellten fest, dass jeder Container Eigenschaften an ein Repository-Element anhängen und wieder auslesen konnte. Die Paketmetadaten wurden so zur gemeinsamen Zwischenablage zwischen eigentlich abgeschotteten Umgebungen.
Instanz außer Betrieb genommen
Ein Angreifer konnte auf diesem Weg eine Aufgabe hinterlegen, die die Sitzung des Opfers bei der nächsten Antwort mit dessen eigenen Berechtigungen ausführte und deren Ergebnis zurückschrieb. Sichtbar blieb für das Opfer nur die reguläre Antwort. Der einzige Hinweis war nach Angaben der Forscher eine Beschriftung neben der Antwort, die erst protokolliert wurde, nachdem der Lesezugriff bereits erfolgt war. Nach der Meldung durch Check Point bestätigte OpenAI, dass die betroffene interne Instanz außer Betrieb genommen wurde.
Dieselbe Schwachstelle habe man bereits vor jenen Aktivitäten nachgewiesen, die später zur Kompromittierung von Hugging Face führten, so Check Point. Beide Fälle hätten ihren Ursprung in demselben gemeinsam genutzten internen Dienst.
„Unsere Untersuchung zeigt, dass die Sicherheitsherausforderung im Zusammenhang mit KI nicht mehr nur das Modell selbst betrifft, sondern auch den Zugriff und das Vertrauen, das wir ihm entgegenbringen. KI-Assistenten sind immer stärker mit Unternehmenssystemen und sensiblen Daten vernetzt, deshalb müssen Unternehmen davon ausgehen, dass jede autorisierte Funktion zum Ziel von Missbrauch werden könnte“, sagt Eli Smadja, Security Research Group Manager bei Check Point Research. (red)
