Quase um dia passa ultimamente sem notícias de agentes de IA de forma autônoma hackear sites ou ferramentas de IA usadas por cibercriminosos e golpistas. Mas uma vulnerabilidade recentemente corrigida na versão macOS do ChatGPT da OpenAI ressalta o valor potencial para os invasores de comprometer o próprio software de IA à medida que esses aplicativos proliferam cada vez mais.
O bug poderia ter sido explorado para essencialmente assumir o controle do ChatGPT no computador da vítima, dando ao invasor acesso a todos os registros de bate-papo e outros dados armazenados pelo aplicativo, bem como interconexões como sessões do navegador. Descoberta por investigadores da Fundação Objective-See, a vulnerabilidade ilustra o profundo acesso ao sistema e a confiança que as plataformas de IA têm para funcionar – e o alvo que isso coloca nas suas costas.
“Os agentes precisam de muito acesso para realizar seu trabalho”, afirma Patrick Wardle, analista de software da Objective-See Foundation e pesquisador de longa data do macOS. “Eles são como o gerente do prédio que tem acesso às chaves de todos os quartos. Portanto, se puderem ser corrompidos ou subvertidos, isso é muito problemático. Isso pode significar que um código sem privilégios poderia potencialmente ter acesso a todas as coisas.”
OpenAI publicamente reconhecido a falha de segurança e correção em seu log de alterações do sistema em 25 de setembro. “Continuamos a evoluir nossas práticas de segurança, mas reconhecemos a necessidade de agir mais rápido”, disse o porta-voz da OpenAI, Shane Bauer, à WIRED em um comunicado.
O aplicativo ChatGPT macOS inclui vários componentes que se comunicam entre si de forma segura, verificando assinaturas digitais. A ideia é confirmar com essas verificações de validade que ambos os processos são componentes OpenAI e não software externo potencialmente malicioso fazendo uma solicitação. E o design do sistema chega ao ponto de exigir essas verificações de assinatura em três camadas de remoção da solicitação, para garantir que o software malicioso não esteja de alguma forma direcionando um componente OpenAI para ser um proxy e fazer uma solicitação aparentemente confiável.
Os pesquisadores da Objective-See Foundation descobriram, porém, que existe um componente confiável, um interpretador de script, que aceitaria um script não confiável (ou lista de comandos para executar) e poderia então ser manipulado para entregar esse script no processo principal do ChatGPT. “Eles também verificam o pai e o avô desse processo, mas o script malicioso apenas gera o interpretador de script três vezes e depois faz a solicitação para satisfazer os requisitos”, diz Wardle.
A vulnerabilidade era “insanamente trivial” de explorar, acrescenta ele, e sua prova de conceito exigiu apenas cerca de uma dúzia de linhas de código. Além de acessar os logs de bate-papo do ChatGPT, a vulnerabilidade também pode ser usada para fazer com que o ChatGPT execute comandos para o invasor, como acessar um navegador ou outros aplicativos confidenciais, com as solicitações aparecendo como instruções legítimas emitidas pelo software OpenAI.
