if ( !emtpy($headline_subheadline ) ) : ?>
L’exécution de tâches entre comptes exposait les données Gmail à l’insu des utilisateurs, soulevant de nouvelles préoccupations en matière de sécurité de l’IA d’entreprise.
endif; ?>
Une faille dans ChatGPT d’OpenAI a permis aux attaquants d’extraire des données du compte Gmail connecté d’une victime en transmettant des instructions cachées entre des sessions utilisateur distinctes, selon une étude de Check Point.
Dans une preuve de concept, Check Point a démontré que la session ChatGPT d’une victime pouvait récupérer des données de courrier électronique et les relayer vers une session contrôlée par un attaquant au cours d’une seule interaction apparemment normale.
« Check Point Research a découvert un canal de commande secret entre comptes par lequel un attaquant pourrait utiliser la session ChatGPT d’une victime pour exécuter des tâches cachées avec les outils, les données et les applications connectées disponibles pour cette session », a écrit Alexey Bukhteyev, chercheur de Check Point, dans le rapport. « Dans notre preuve de concept, ChatGPT a récupéré les données de messagerie du compte Gmail connecté de la victime et les a relayées à l’attaquant. »
OpenAI a depuis résolu le problème, selon le rapport, confirmant que le service interne impliqué a été mis hors service.
Check Point a décrit cela comme un scénario « d’initié contraint », dans lequel le système d’IA lui-même n’est pas compromis mais peut être manipulé pour effectuer des actions involontaires dans les limites de confiance de l’organisation.
La portée de l’attaque s’est étendue à tout ce à quoi la session de la victime était déjà autorisée à accéder, y compris les connecteurs Google Drive, Microsoft Teams et GitHub, et pas seulement Gmail, ajoute le rapport.
Un canal cross-compte secret
La vulnérabilité provient de l’environnement d’exécution de code de ChatGPT, dans lequel les tâches s’exécutent dans des conteneurs isolés liés à des comptes d’utilisateurs individuels.
Pour prendre en charge l’installation de logiciels dans ces conteneurs, OpenAI achemine les demandes de packages via un service interne basé sur JFrog Artifactory, selon le rapport.
Bien que les conteneurs ne soient pas censés communiquer entre eux, Check Point a découvert que chaque conteneur pouvait écrire et lire des métadonnées dans ce service partagé.
« Les métadonnées de livraison des colis sont effectivement devenues un presse-papiers partagé entre des conteneurs censés être isolés les uns des autres », indique le rapport.
En écrivant des instructions dans ces métadonnées partagées, la session d’un attaquant pourrait transmettre des tâches à la session d’une victime. « Une instruction spécialement conçue pourrait permettre à la session ChatGPT d’une victime de traiter silencieusement un deuxième flux de tâches parallèlement à la conversation que la victime pourrait réellement voir », a déclaré Check Point dans le rapport.
Données Gmail consultées à l’insu de l’utilisateur
Dans sa démonstration, Check Point a montré que la tâche cachée pouvait demander à ChatGPT de récupérer les données du compte Gmail connecté d’une victime et de les restituer à l’attaquant.
« La réponse visible semblait tout à fait ordinaire », indique le rapport, alors même que la tâche cachée s’exécutait en parallèle.
L’ampleur de l’attaque dépendait de ce à quoi la session de la victime était autorisée à accéder, notamment les e-mails, les fichiers et autres applications connectées telles que le stockage cloud ou les outils de collaboration, selon Check Point.
La sensibilisation des utilisateurs était minime. La seule indication observée était une petite étiquette « Parlé à Gmail » indiquant qu’un service externe avait été accédé, enregistré après que l’action ait déjà eu lieu, selon le rapport.
Problème lié à la même infrastructure
Check Point Research a déclaré que sa preuve de concept fonctionnait déjà avant qu’une chaîne d’activité distincte sur la même instance Artifactory ne conduise au compromis Hugging Face qu’OpenAI a depuis divulgué publiquement. Les deux incidents ont utilisé des techniques différentes mais remontent au même service interne partagé.
Shilpi Handa, directeur de recherche associé chez IDC, a déclaré qu’un échec répété d’isolement sur la même infrastructure modifie la façon dont les entreprises doivent évaluer le risque lié aux fournisseurs.
« Le conteneur d’un locataire peut-il lire ou écrire des données auxquelles le conteneur d’un autre locataire peut également accéder ? » C’est une question que les DSI devraient poser directement aux fournisseurs d’IA, a déclaré Handa, car la réponse n’est pas quelque chose que les clients peuvent vérifier de manière indépendante.
Handa a déclaré que les entreprises devraient également demander aux fournisseurs combien de découvertes de limites d’isolement ils ont enregistrées au cours des 12 derniers mois et ce qui a changé structurellement après chacun d’entre eux.
OpenAI n’a pas immédiatement répondu à une demande de commentaire.
Contrôles que les entreprises peuvent appliquer dès maintenant
Handa a déclaré que les entreprises n’ont pas besoin d’attendre les réponses des fournisseurs pour réduire leur exposition. Elle a recommandé d’autoriser les applications connectées de manière étroite plutôt que par défaut, en accordant un connecteur de calendrier sans activer également l’accès à Gmail et Drive.
Une subvention limitée « réduit ce que toute fuite au niveau d’un conteneur peut révéler », a déclaré Handa.
Elle a également recommandé d’acheminer le trafic des applications connectées via une inspection DLP ou CASB pour capturer les données réglementées avant qu’elles ne quittent le pipeline, et d’exiger une API ou un webhook qui enregistre chaque lecture et écriture d’application connectée, avec horodatage et catégorie de données, exportée vers le propre SIEM de l’entreprise.
Sans cette journalisation, a déclaré Handa, « vous ne pouvez pas détecter cette classe de fuite, même après la mise à jour du correctif ». Elle a déclaré que les consoles d’administration de certains fournisseurs permettent aux clients de contourner la hiérarchisation des risques par défaut sur les lectures impliquant Gmail ou Drive, forçant ainsi une approbation explicite plutôt qu’un accès automatique. Cette dérogation mérite d’être appliquée spécifiquement aux sources de données confidentielles ou réglementées telles que les systèmes juridiques, RH ou financiers, a-t-elle déclaré.
