网易首页 > 网易号 > 正文 申请入驻

【安全圈】恶意插件警报:ChatGPT用户或面临帐户劫持风险

0
分享至

关键词

ChatGPT

网络安全研究人员发现,可用于 OpenAI ChatGPT 的第三方插件可能会成为希望未经授权访问敏感数据的威胁行为者的新攻击面。

根据 Salt Labs 发表的新研究,直接在 ChatGPT 和生态系统中发现的安全漏洞可能允许攻击者在未经用户同意的情况下安装恶意插件并劫持 GitHub 等第三方网站上的帐户。

顾名思义,ChatGPT 插件是旨在运行在大型语言模型 (LLM) 之上的工具,旨在访问最新信息、运行计算或访问第三方服务。

此后,OpenAI 还推出了 GPT,这是针对特定用例量身定制的 ChatGPT 定制版本,同时减少了对第三方服务的依赖。自 2024 年 3 月 19 日起,ChatGPT 用户将无法再安装新插件或使用现有插件创建新对话。

Salt Labs 发现的漏洞之一是利用 OAuth 工作流程,利用 ChatGPT 不验证用户是否确实开始安装插件这一事实,诱骗用户安装任意插件。

这实际上可以允许威胁行为者拦截和泄露受害者共享的所有数据,这些数据可能包含专有信息。

这家网络安全公司还发现了 PluginLab 的问题,威胁行为者可能会将其武器化,以进行零点击帐户接管攻击,使他们能够控制 GitHub 等第三方网站上的组织帐户并访问其源代码存储库。

“[端点] 'auth.pluginlab[.]ai/oauth/authorized'不会对请求进行身份验证,这意味着攻击者可以插入另一个memberId(又名受害者)并获取代表受害者的代码,“安全研究员Aviad Carmel解释说。“有了这些代码,他就可以使用 ChatGPT 并访问受害者的 GitHub。”

可以通过查询端点“auth.pluginlab[.]ai/members/requestMagicEmailCode。没有证据表明任何用户数据已使用该漏洞受到损害。

在包括 Kesem AI 在内的多个插件中还发现了一个 OAuth 重定向操作错误,该错误可能允许攻击者通过向受害者发送特制链接来窃取与插件本身关联的帐户凭据。

几周前,Imperva 详细介绍了 ChatGPT 中的两个跨站点脚本 (XSS) 漏洞,这些漏洞可以被链接以夺取对任何帐户的控制权。

2023 年 12 月,安全研究员 Johann Rehberger 还演示了恶意行为者如何创建自定义 GPT,这些 GPT 可以对用户凭据进行网络钓鱼并将被盗数据传输到外部服务器。

对 AI 助手的新远程键盘记录攻击#

这些发现也是在本周发表的关于LLM侧信道攻击的新研究之后进行的,该研究使用令牌长度作为隐蔽手段,通过网络从AI助手中提取加密响应。

“LLMs以一系列令牌(类似于单词)的形式生成和发送响应,每个令牌在生成时从服务器传输到用户,”来自本古里安大学和进攻性人工智能研究实验室的一组学者说。

“虽然这个过程是加密的,但顺序令牌传输暴露了一个新的侧信道:令牌长度侧信道。尽管进行了加密,但数据包的大小可以揭示令牌的长度,从而可能允许网络上的攻击者推断出私人AI助手对话中共享的敏感和机密信息。

这是通过令牌推理攻击来实现的,该攻击旨在通过训练能够将令牌长度序列转换为其自然语言对应物(即明文)的 LLM 模型来破译加密流量中的响应。

换句话说,核心思想是拦截与 LLM 提供商的实时聊天响应,使用网络数据包标头推断每个令牌的长度,提取和解析文本段,并利用自定义 LLM 来推断响应。

实施攻击的两个关键先决条件是以流模式运行的 AI 聊天客户端和能够捕获客户端和 AI 聊天机器人之间的网络流量的对手。

为了抵消侧信道攻击的有效性,建议开发 AI 助手的公司应用随机填充来掩盖令牌的实际长度,以更大的组而不是单独传输令牌,并一次性发送完整的响应,而不是以逐个令牌的方式。

“在安全性与可用性和性能之间取得平衡是一项复杂的挑战,需要仔细考虑,”研究人员总结道。

安全圈

网罗圈内热点 专注网络安全

实时资讯一手掌握!

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧!

特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.

相关推荐
热点推荐
女性私处的“芳草”,竟然是越“浓密”越“渴望”?

女性私处的“芳草”,竟然是越“浓密”越“渴望”?

水白头
2024-06-16 00:06:07
上海这种事也越来越多了!

上海这种事也越来越多了!

吴女士
2024-06-15 14:02:29
瑞士“全球和平峰会”,必将成为文明的新起点

瑞士“全球和平峰会”,必将成为文明的新起点

近距离
2024-06-15 18:09:05
22岁卡车司机,带45岁女人跑长途,两人最喜欢经过百里无人区

22岁卡车司机,带45岁女人跑长途,两人最喜欢经过百里无人区

牛城王小帅
2024-06-14 11:45:37
一针69.7万,医保谈判到3万!可澳洲184块,为何却说中国价最低?

一针69.7万,医保谈判到3万!可澳洲184块,为何却说中国价最低?

风起云间
2024-06-14 21:44:22
莫斯科外汇交易所停止美元交易后,人民币和美元汇率翻天覆地

莫斯科外汇交易所停止美元交易后,人民币和美元汇率翻天覆地

火星宏观
2024-06-16 06:00:03
苏格兰男球迷裙下没穿内裤直接漏出私处,西班牙记者被雷到

苏格兰男球迷裙下没穿内裤直接漏出私处,西班牙记者被雷到

直播吧
2024-06-15 18:41:04
欧洲杯惨败之夜,38岁巨星消失!65分钟被换下,遭球迷恶搞

欧洲杯惨败之夜,38岁巨星消失!65分钟被换下,遭球迷恶搞

叶青足球世界
2024-06-16 02:56:58
中国女排3-2土耳其赛后,朱婷伤情更新,蔡斌收到两个好消息

中国女排3-2土耳其赛后,朱婷伤情更新,蔡斌收到两个好消息

极度说球
2024-06-15 23:24:25
刚向美国否认完“强迫劳动”,宁德时代就被曝要求员工896,奋斗100天

刚向美国否认完“强迫劳动”,宁德时代就被曝要求员工896,奋斗100天

小萝卜丝
2024-06-16 08:32:04
中俄联合开发黑瞎子岛,当年黑瞎子岛是怎样被俄方占领的?

中俄联合开发黑瞎子岛,当年黑瞎子岛是怎样被俄方占领的?

浩然史观
2024-06-15 16:55:02
打断妻子多根肋骨,知名上市公司创始人被公诉!被指长期家暴,连咬带打,妻子怀孕7个月时仍被打得满头包,“为了孩子不得不忍”

打断妻子多根肋骨,知名上市公司创始人被公诉!被指长期家暴,连咬带打,妻子怀孕7个月时仍被打得满头包,“为了孩子不得不忍”

每日经济新闻
2024-06-15 18:22:06
开始了!俄罗斯军人亲属呼吁官员儿子顶替亲人

开始了!俄罗斯军人亲属呼吁官员儿子顶替亲人

亡海中的彼岸花
2024-06-15 08:56:51
疯传!女员工表白大20岁副行长,言语肉麻发错群,银行回应来了

疯传!女员工表白大20岁副行长,言语肉麻发错群,银行回应来了

懂瓜瓜
2024-06-15 20:12:37
G7发布联合声明,不许中国援俄,不许武力收台,也不许反制菲律宾

G7发布联合声明,不许中国援俄,不许武力收台,也不许反制菲律宾

贺文萍
2024-06-15 16:53:41
吕迪格回应定妆照争议手势:很多球员摆出这个姿势,没有宗教意涵

吕迪格回应定妆照争议手势:很多球员摆出这个姿势,没有宗教意涵

直播吧
2024-06-16 06:45:07
563支AI队伍和姜萍答了同一份试卷:最高34分,无一入围决赛

563支AI队伍和姜萍答了同一份试卷:最高34分,无一入围决赛

经济观察报
2024-06-15 19:56:17
92个国家参加瑞士和平峰会,其中57个国家领导人出席,亚洲有5个

92个国家参加瑞士和平峰会,其中57个国家领导人出席,亚洲有5个

飞狼
2024-06-16 00:00:07
乌克兰和平峰会、美俄核潜艇“对视”,都是俄乌冲突背景音乐!

乌克兰和平峰会、美俄核潜艇“对视”,都是俄乌冲突背景音乐!

新民周刊
2024-06-16 09:09:58
五大名医集体总结:增强身体健康的10大铁律,值得参考~

五大名医集体总结:增强身体健康的10大铁律,值得参考~

华人星光
2024-06-15 16:49:27
2024-06-16 10:30:44
安全圈
安全圈
国内首家大安全概念新媒体
4451文章数 4680关注度
往期回顾 全部

科技要闻

iPhone 16会杀死大模型APP吗?

头条要闻

媒体:G7联合公报29次提到中国 对涉华议题大放厥词

头条要闻

媒体:G7联合公报29次提到中国 对涉华议题大放厥词

体育要闻

超燃欧洲杯!16岁巨星起飞 6秒狂奔40米

娱乐要闻

江宏杰秀儿女刺青,不怕刺激福原爱?

财经要闻

打断妻子多根肋骨 上市公司创始人被公诉

汽车要闻

东风奕派eπ008售21.66万元 冰箱彩电都配齐

态度原创

房产
艺术
数码
时尚
军事航空

房产要闻

万华对面!海口今年首宗超百亩宅地,重磅挂出!

艺术要闻

穿越时空的艺术:《马可·波罗》AI沉浸影片探索人类文明

数码要闻

华硕 Z790-AYW WIFI W 哎哟喂白色主板上市,1999 元

可以轻松借鉴的通勤装扮,女人多穿“过膝裙”,优雅时尚大气

军事要闻

普京提停火和谈条件 美防长迅速回应

无障碍浏览 进入关怀版