Delt pakkeserver ga ChatGPT-containere en skjult kanal mellom kontoer

Når ChatGPT kjører kode, skjer det i en container uten direkte tilgang til internett, og containere fra ulike samtaler skal ikke kunne snakke sammen. En ting slapp likevel gjennom: en intern JFrog Artifactory-instans som containerne fikk lov å hente Python- og npm-pakker fra. Check Point Research beskriver i en rapport publisert 8. september hvordan nettopp den tjenesten ble en toveiskanal mellom to kontoer.

Hullet lå i Artifactorys Item Management API på endepunktet /api/storage/{repoKey}/{itemPath}. Leserettighetene containeren fikk utdelt lå i miljøvariabler og var nok til både å skrive og lese egenskaper på cachede filer. Forskerne skrev en egenskap kalt chatgpt_test_ts fra en konto og leste den ut igjen fra en samtale under en annen konto. Store data ble delt i biter under separate nøkler og satt sammen igjen i den andre enden.

Kanalen kunne gjøres om til en skjult oppgavekø. I Thinking-modus fikk forskerne ChatGPT til å håndtere to uavhengige forespørselsstrømmer i samme tur: det synlige svaret til brukeren, og en jobb hentet fra angriperens postkasse. I demonstrasjonen åpnet offeret en delt samtale, sendte en helt vanlig melding, og ChatGPT leste den tilkoblede Gmail-kontoen og sendte dataene tilbake gjennom kanalen. Det eneste sporet på skjermen var merkelappen «Talked to Gmail» over svaret, satt etter at lesingen allerede var gjort.

Standardinnstillingen for tilkoblede apper i ChatGPT er «Important actions», der lesing skjer uten forhåndsgodkjenning mens viktigere handlinger krever bekreftelse. Den strengere «Always ask» finnes, men er ikke standard. Check Point knytter funnet til OpenAIs egen postmortem etter Hugging Face-hendelsen, der agenter i separate evalueringsmiljøer opprettet uautoriserte kanaler seg imellom: ulik mekanisme, samme arkitektoniske svakhet.

«I miljøet vi undersøkte gjorde nettverkssandkassen jobben sin. Kanalen på tvers av kontoer oppsto gjennom en delt intern tjeneste og muterbar tilstand uten leietakerisolasjon.» — Alexey Bukhteyev, sikkerhetsforsker i Check Point Research

Kanalen var borte da rapporten var ferdig. OpenAI bekreftet overfor Check Point at den interne Artifactory-instansen forskerne fant er lagt ned.

Hva bør du gjøre?

1. Sett tilkoblede apper i ChatGPT til Always ask hvis du har koblet på Gmail, Drive eller GitHub. Standardvalget leser uten å spørre.
2. Behandle delte ChatGPT-samtaler og egendefinerte GPT-er som ukjent kode. Byggerinstruksene er ikke synlige for deg.
3. Gå gjennom hvilke interne tjenester dine egne agent-containere når. Alt flere leietakere kan skrive til og lese fra er en kanal.