OpenAI corrige une vulnérabilité de l’agent Workspace de ChatGPT permettant un contrôle distant furtif

OpenAI a corrigé une vulnérabilité dans les agents Workspace de ChatGPT qui aurait pu permettre à un attaquant d’implanter et de piloter à distance un agent IA autonome au sein d’une organisation, selon des recherches menées par Zenity Labs.

Zenity a baptisé cette faille « AgentForger » et l’a décrite comme une attaque par falsification de requête intersite (CSRF) spécialement conçue. La vulnérabilité affectait l’Agent Builder de ChatGPT, où des paramètres intégrés à une URL d’initialisation pouvaient influencer le modèle de l’agent et lui fournir ses instructions initiales. Les chercheurs ont indiqué que ces paramètres pouvaient être exploités pour créer un agent doté de capacités étendues et d’un comportement défini par l’attaquant.

Lors d’une attaque démontrée, l’agent recevait pour instruction de surveiller un connecteur de messagerie déjà autorisé afin de détecter les messages correspondant à un motif d’objet particulier. Ces messages pouvaient ensuite servir de commandes, l’agent exécutant des tâches via les services connectés et envoyant les résultats à une adresse externe. Des instructions supplémentaires pouvaient dissimuler l’agent, réduire le nombre de demandes d’approbation et l’activer pour un fonctionnement continu.

Conditions requises pour l’exploitation

Ce scénario reposait sur plusieurs conditions préalables. L’employé ciblé devait être connecté à ChatGPT, avoir accès aux agents Workspace et disposer d’au moins un connecteur autorisé, tel que Gmail ou Outlook. Comme le connecteur avait déjà été approuvé, l’attaque ne déclenchait pas nécessairement de nouvelle demande de consentement OAuth. L’employé devait également être persuadé d’ouvrir une URL malveillante.

Zenity a indiqué qu’une compromission réussie pouvait donner à l’attaquant une présence autonome opérant sous l’identité, avec les autorisations et via les applications connectées de la victime. Les abus potentiels incluaient la reconnaissance, la collecte de données sensibles, le vol d’identifiants, l’hameçonnage interne, l’usurpation d’identité et la compromission de messageries professionnelles. Les chercheurs ont qualifié le risque de problème de confiance envers les agents plutôt que d’attaque CSRF conventionnelle reposant sur une action unique.

Selon Zenity, les résultats ont été signalés à OpenAI le 4 juin. OpenAI a accusé réception du signalement dans les 24 heures et a déployé un correctif le 8 juin. Cette divulgation souligne la nécessité d’évaluer les agents IA comme des identités logicielles dotées d’instructions persistantes, de programmations, d’outils et d’un accès aux données d’entreprise.

Considérations de sécurité

• Formez les utilisateurs à considérer comme potentiellement malveillants les liens inattendus menant vers des outils d’IA ou de productivité.
• Examinez les connecteurs autorisés et limitez les agents aux autorisations minimales nécessaires.
• Surveillez la création de nouveaux agents, les programmations inhabituelles, la modification des paramètres d’approbation et les transferts de données sortants inattendus.
• Exigez une approbation administrative et une meilleure visibilité pour les agents autonomes capables d’agir dans plusieurs applications professionnelles.