OpenAI corrige una vulnerabilidad de ChatGPT Workspace Agent que permitía el control remoto encubierto

OpenAI ha corregido una vulnerabilidad en ChatGPT Workspace Agents que podría haber permitido a un atacante implantar y operar de forma remota un agente de IA autónomo dentro de una organización, según una investigación de Zenity Labs.

Zenity bautizó el problema como “AgentForger” y lo describió como un ataque de falsificación de solicitudes entre sitios (CSRF) especialmente diseñado. La vulnerabilidad afectaba a Agent Builder de ChatGPT, donde los parámetros incluidos en una URL de inicialización podían influir en la plantilla del agente y proporcionarle sus instrucciones iniciales. Los investigadores afirmaron que esos parámetros podían explotarse para crear un agente con amplias capacidades y un comportamiento definido por el atacante.

En un ataque demostrado, se instruyó al agente para supervisar un conector de correo electrónico ya autorizado en busca de mensajes que coincidieran con un patrón de asunto concreto. Esos mensajes podían utilizarse como comandos, y el agente podía ejecutar tareas a través de servicios conectados y enviar los resultados a una dirección externa. Instrucciones adicionales podían ocultar el agente, reducir las solicitudes de aprobación y activarlo para que funcionara de forma continua.

Condiciones necesarias para la explotación

El escenario dependía de varios requisitos previos. El empleado objetivo debía haber iniciado sesión en ChatGPT, tener acceso a Workspace Agents y disponer de al menos un conector autorizado, como Gmail u Outlook. Puesto que el conector ya había sido aprobado, el ataque no tenía por qué activar una nueva solicitud de consentimiento de OAuth. Además, había que persuadir al empleado para que abriera una URL maliciosa.

Zenity afirmó que una intrusión exitosa podría proporcionar al atacante una presencia autónoma que operara con la identidad, los permisos y las aplicaciones conectadas de la víctima. Entre los posibles usos indebidos se incluían el reconocimiento, la recopilación de datos confidenciales, el robo de credenciales, el phishing interno, la suplantación de identidad y el fraude por correo electrónico corporativo. Los investigadores describieron el riesgo como un problema de confianza en los agentes, en lugar de un ataque CSRF convencional de una sola acción.

Según Zenity, comunicó sus hallazgos a OpenAI el 4 de junio. OpenAI confirmó la recepción del informe en el plazo de un día y desplegó una corrección el 8 de junio. La divulgación pone de relieve la necesidad de evaluar los agentes de IA como identidades de software con instrucciones persistentes, programaciones, herramientas y acceso a datos empresariales.

Consideraciones de seguridad

• Capacite a los usuarios para que traten los enlaces inesperados que dirigen a herramientas de IA o productividad como potencialmente maliciosos.
• Revise los conectores autorizados y limite los agentes a los permisos mínimos necesarios.
• Supervise la creación de agentes nuevos, las programaciones inusuales, los cambios en la configuración de aprobaciones y las transferencias de datos salientes inesperadas.
• Exija aprobación administrativa y una mayor visibilidad para los agentes autónomos capaces de actuar en distintas aplicaciones empresariales.