ChatGPT-nin süni intellekt agentləri bir hesabdan həssas məlumatları çıxarıb digərinə ötürə biliblər, çünki hamısı qismən eyni mühitdə işləyirdi. Check Point Research (CPR) mütəxəssisləri tərəfindən aşkar edilən boşluq «məcburi insayder» adlandırılıb — istismar proqram təminatı xətasından birbaşa istifadə etmək əvəzinə, agentin hərəkətlərini manipulyasiya etməyi tələb edirdi.
Süni intellekt agenti kod icrası tələb edən bir tapşırıq aldıqda, onu təcrid olunmuş bir konteynerdə emal edir ki, bu da bəzən əlavə proqram təminatının quraşdırılmasını tələb edir. Çox riskli olan birbaşa internet bağlantısı olmadan bu imkanı aktivləşdirmək üçün OpenAI paket sorğularını daxili JFrog Artifactory nümunəsi vasitəsilə yönləndirir. Əlavə təhlükəsizlik tədbiri olaraq, fərqli hesablara məxsus konteynerlər bir-biri ilə birbaşa əlaqə qura bilmir.
Lakin, onlar tək bir daxili xidmətə daxil ola bilərlər — bu, konteynerlərin depo elementlərinə mətn və ya ikili xüsusiyyətləri əlavə etməsinə imkan verən obyekt idarəetmə funksiyası təmin edir. Nəticədə, bir konteyner digəri tərəfindən yazılmış xüsusiyyətləri oxuya bilər. Bu, «sorğu inyeksiyası» hücumuna imkan verir — yeganə fərq həm sorğuların, həm də cavabların bu obyekt xüsusiyyətləri vasitəsilə ötürülməsidir. Təcavüzkar sorğu göndərir və ya paylaşılan söhbətə başlayır, agentə növbəti cavabını hazırlayarkən bu depoyu yoxlamağı tapşırır. Agent onu yoxlayır, zərərli əmri aşkarlayır və onu yerinə yetirir, qurbanın sualına həmişəki kimi cavab verməyə davam edir — qurban məlumat oğurluğunun baş verdiyindən xəbərsizdir.
Belə bir hücumdan dəyən zərərin miqyası agent və qurban arasında mübadilə edilən məlumatların həcmindən asılıdır: əvvəlcə sistem yalnız istifadəçinin agentlə yazışma zamanı paylaşdığı məlumata giriş əldə edir. Lakin bu məlumat həcmi Gmail, Google Drive, Microsoft Teams və GitHub da daxil olmaqla üçüncü tərəf xidmətləri qoşulduqca artır. Bir nümayiş zamanı ChatGPT süni intellekt agenti bir istifadəçinin elektron poçtundan məlumat çıxardı və onu simulyasiya edilmiş təcavüzkara ötürdü. Ürək-Ağciyər Reanimasiyası mütəxəssisləri bu kəşfi OpenAI-a bildirdilər və bu da Artifactory instansiyasının istismardan çıxarıldığını və bununla da hücum vektorunun bağlandığını təsdiqlədi.
Şirkətlərə işçilərin hansı süni intellekt vasitələrindən istifadə etdiyini və bu vasitələrin hansı sistemlərə qoşulduğunu qeyd etmələri və süni intellekt agentlərinin və digər tətbiqlərin hərəkətlərini tənzimləmələri, yalnız cavabları deyil, bütün əməliyyatlarını daimi monitorinq tələb edən hərəkətlər kimi qəbul etmələri tövsiyə edildi.
