Kritische Sicherheitslücken in ChatGPT-Plugins setzen Benutzer der Gefahr von Datenschutzverletzungen aus. Angreifer könnten Anmeldedaten stehlen und auf sensible Daten auf Websites Dritter zugreifen. Aktualisieren Sie jetzt Ihre Plugins und verwenden Sie nur Erweiterungen aus vertrauenswürdigen Quellen, um sich vor KI-gesteuerten Cyberbedrohungen zu schützen.

Salt Security, ein führender Anbieter von API-Sicherheit (Application Programming Interface), hat kritische Sicherheitslücken in beliebten Plugins des KI-Chatbots von OpenAI entdeckt ChatGPT. Diese Schwachstellen können es Angreifern ermöglichen, vertrauliche Benutzerdaten zu stehlen und sich unbefugten Zugriff auf Konten auf Websites Dritter oder den Datenabruf zu verschaffen google Drive.

Dies bedeutet, dass die ChatGPT-Plugin-Funktionalität, die jetzt als GPTs bekannt ist, ein Angriffsvektor sein könnte, der Schwachstellen den Zugriff auf Benutzerkonten von Drittanbietern, einschließlich GitHub-Repositories, ermöglicht und es böswilligen Akteuren ermöglicht, die Kontrolle über das Konto einer Organisation auf Websites von Drittanbietern zu erlangen und auf sensible Daten zuzugreifen .

Zu Ihrer Information: ChatGPT-Plugins (ausschließlich zugänglich für Benutzer mit einem GPT-4-Modell, die ein ChatGPT Plus-Abonnement zur Nutzung) sollen die Fähigkeiten des Chatbots verbessern, indem sie ihm ermöglichen, mit externen Diensten zu interagieren und über verschiedene Domänen hinweg anwendbar zu sein. Bei der Verwendung von ChatGPT-Plugins kann es jedoch vorkommen, dass Unternehmen versehentlich zulassen, dass vertrauliche Daten an Websites Dritter gesendet werden und auf private externe Konten zugegriffen wird.

Drei Schwachstellen

Laut Salt Labs Forschung Wie Hackread.com vor der Veröffentlichung am Mittwoch mitteilte, entdeckte das Unternehmen drei Schwachstellen in ChatGPT-Plugins.

Erste Sicherheitslücke

Die erste fand innerhalb von ChatGPT selbst statt, wo Benutzer auf die Plugin-Website weitergeleitet werden, um einen Code zur Genehmigung zu erhalten. Angreifer können diese Funktion ausnutzen, um Benutzern mit einem bösartigen Plugin eine Code-Genehmigung zu übermitteln, die es ihnen ermöglicht, ihre Anmeldeinformationen auf dem Konto eines Opfers zu installieren. Jede in ChatGPT geschriebene Nachricht kann an ein Plugin weitergeleitet werden und der Angreifer kann dann auf proprietäre Informationen zugreifen.

Zweite Sicherheitslücke

Die zweite Schwachstelle wurde in PluginLab identifiziert, einem Framework zur Entwicklung von ChatGPT-Plugins. Salt Labs hat herausgefunden, dass PluginLab während des Installationsprozesses keine angemessenen Sicherheitsmaßnahmen implementiert, sodass Angreifer potenziell schädliche Plugins ohne Wissen der Benutzer installieren können.

Da PluginLab Benutzerkonten nicht authentifiziert hat, können Angreifer eine andere Benutzer-ID einfügen und an den Code eines Opfers gelangen, was zur Kontoübernahme führt. Ein betroffenes Plugin, „AskTheCode“, integriert sich zwischen ChatGPT und GitHub und ermöglicht Angreifern den Zugriff auf das Konto eines Opfers.

Dritte Sicherheitslücke

Eine weitere Schwachstelle war die Manipulation der OAuth-Umleitung, die es Angreifern ermöglichte, bösartige URLs an Opfer zu senden und Benutzeranmeldeinformationen zu stehlen. Viele ChatGPT-Plugins verlangen weitreichende Berechtigungen für den Zugriff auf verschiedene Websites. Das bedeutet, dass kompromittierte Plugins möglicherweise Anmeldeinformationen oder andere sensible Daten von diesen Websites Dritter stehlen könnten.

Gemäß verantwortungsvoller Offenlegungspraktiken arbeiteten die Forscher von Salt Labs mit OpenAI und Drittanbietern zusammen, um Probleme umgehend zu beheben, bevor sie in freier Wildbahn ausgenutzt werden.

Diese Forschung verdeutlicht die wachsende Verbreitung von KI und ihre potenziellen Sicherheitsrisiken. Im Januar 2024, Kaspersky hat über 3.000 Dark-Web-Beiträge entdeckt wo Bedrohungsakteure darüber diskutierten, KI-gestützte Chatbots wie ChatGPT für die Entwicklung ähnlicher Tools zur Durchführung von Cyberkriminalität auszunutzen.

Kürzlich veröffentlichte den Bericht „Hi-Tech Crime Trends 23/24“ von Group-IB zeigt einen Anstieg des Einsatzes von KI durch Cyberkriminelle, insbesondere für gestohlene ChatGPT-Anmeldeinformationen, die für den Zugriff auf sensible Unternehmensdaten verwendet werden können. Zwischen Januar und Oktober 2023 wurden über 225.000 Infostealer-Protokolle mit kompromittierten ChatGPT-Anmeldeinformationen entdeckt.

Daher wird Benutzern empfohlen, die Berechtigungen sorgfältig zu prüfen, nur Plugins aus vertrauenswürdigen Quellen zu installieren und ChatGPT und Plugins regelmäßig zu aktualisieren. Entwickler sollten Schwachstellen bei der Codeausführung beheben, um Benutzerdaten zu schützen. PluginLab-Entwickler sollten während des gesamten Plugin-Entwicklungslebenszyklus robuste Sicherheitsmaßnahmen implementieren.

VERWANDTE THEMEN

1. ChatGPT von OpenAI kann polymorphe Malware erstellen
2. Bösartiger Abrax666-KI-Chatbot als potenzieller Betrug entlarvt
3. Schädliche Werbung infiltriert den KI-Chatbot von Bing im Rahmen eines Malvertising-Angriffs
4. Nach WormGPT taucht FraudGPT für KI-gesteuerte Cyberkriminalität auf
5. Forscher erstellen mit ChatGPT polymorphe Blackmamba-Malware