OpenAI corregge la vulnerabilità di ChatGPT Workspace Agent che consentiva il controllo remoto occulto

OpenAI ha corretto una vulnerabilità in ChatGPT Workspace Agents che avrebbe potuto consentire a un attaccante di introdurre e gestire da remoto un agente IA autonomo all’interno di un’organizzazione, secondo una ricerca di Zenity Labs.

Zenity ha denominato il problema “AgentForger” e lo ha descritto come un attacco cross-site request forgery (CSRF) appositamente creato. La vulnerabilità interessava Agent Builder di ChatGPT, dove i parametri incorporati in un URL di inizializzazione potevano influenzare il modello dell’agente e fornirgli le istruzioni iniziali. Secondo i ricercatori, tali parametri potevano essere sfruttati per creare un agente dotato di ampie capacità e di un comportamento definito dall’attaccante.

In un attacco dimostrato, all’agente veniva ordinato di monitorare un connettore email già autorizzato alla ricerca di messaggi corrispondenti a uno specifico schema nell’oggetto. Tali messaggi potevano quindi fungere da comandi, consentendo all’agente di eseguire attività tramite i servizi collegati e di inviare i risultati a un indirizzo esterno. Ulteriori istruzioni potevano nascondere l’agente, ridurre le richieste di approvazione e attivarlo per un funzionamento continuativo.

Condizioni necessarie per lo sfruttamento

Lo scenario dipendeva da diversi prerequisiti. Il dipendente preso di mira doveva aver effettuato l’accesso a ChatGPT, avere accesso a Workspace Agents e disporre di almeno un connettore autorizzato, come Gmail o Outlook. Poiché il connettore era già stato approvato, l’attacco non necessariamente attivava una nuova richiesta di consenso OAuth. Inoltre, il dipendente doveva essere convinto ad aprire un URL dannoso.

Secondo Zenity, una compromissione riuscita avrebbe potuto fornire all’attaccante una presenza autonoma operante con l’identità, le autorizzazioni e le applicazioni collegate della vittima. Tra i potenziali abusi figuravano attività di ricognizione, raccolta di dati sensibili, sottrazione di credenziali, phishing interno, impersonificazione e compromissione della posta elettronica aziendale. I ricercatori hanno definito il rischio un problema di affidabilità degli agenti, piuttosto che un convenzionale attacco CSRF basato su una singola azione.

Secondo Zenity, i risultati sono stati segnalati a OpenAI il 4 giugno. OpenAI ha riconosciuto la segnalazione entro un giorno e ha distribuito una correzione entro l’8 giugno. La divulgazione evidenzia la necessità di valutare gli agenti IA come identità software dotate di istruzioni persistenti, pianificazioni, strumenti e accesso ai dati aziendali.

Considerazioni sulla sicurezza

• Formare gli utenti affinché considerino potenzialmente dannosi i link imprevisti che conducono a strumenti di IA o di produttività.
• Esaminare i connettori autorizzati e limitare gli agenti alle autorizzazioni minime necessarie.
• Monitorare la creazione di nuovi agenti, le pianificazioni insolite, le modifiche alle impostazioni di approvazione e i trasferimenti imprevisti di dati verso l’esterno.
• Richiedere l’approvazione amministrativa e una maggiore visibilità per gli agenti autonomi in grado di operare tra diverse applicazioni aziendali.