Problème 6342

Des chercheurs en cybersécurité ont découvert une nouvelle vulnérabilité dans le navigateur web ChatGPT Atlas d'OpenAI. Cette vulnérabilité pourrait permettre à des acteurs malveillants d'injecter des instructions malveillantes dans la mémoire de l'assistant vocal et d'exécuter du code arbitraire.

« Cette faille peut permettre à des attaquants d'infecter des systèmes avec du code malveillant, de s'octroyer des privilèges d'accès ou de déployer des logiciels malveillants », a déclaré Or Eshed, cofondateur et PDG de LayerX Security, dans un rapport partagé avec The Hacker News.

L'attaque exploite une faille de type CSRF (Cross-Site Request Forgery) qui pourrait être utilisée pour injecter des instructions malveillantes dans la mémoire persistante de ChatGPT. La mémoire corrompue peut alors persister d'un appareil à l'autre et d'une session à l'autre, permettant à un attaquant de mener diverses actions, notamment la prise de contrôle du compte, du navigateur ou des systèmes connectés d'un utilisateur, lorsqu'un utilisateur connecté tente d'utiliser ChatGPT à des fins légitimes.

La fonctionnalité de mémoire, introduite par OpenAI en février 2024, est conçue pour permettre au chatbot de mémoriser des informations utiles entre les conversations, afin de personnaliser et de rendre ses réponses plus pertinentes. Il peut s'agir, par exemple, du nom, de la couleur préférée, des centres d'intérêt ou des préférences alimentaires de l'utilisateur.

Cette attaque représente un risque de sécurité important car, en corrompant la mémoire, elle permet aux instructions malveillantes de persister tant que les utilisateurs ne les suppriment pas explicitement dans les paramètres. Ce faisant, une fonctionnalité utile se transforme en une arme redoutable permettant d'exécuter du code fourni par un attaquant.

« Ce qui rend cette faille particulièrement dangereuse, c'est qu'elle cible la mémoire persistante de l'IA, et non la simple session du navigateur », explique Michelle Levy, responsable de la recherche en sécurité chez LayerX Security. « En combinant une attaque CSRF classique à une écriture en mémoire, un attaquant peut injecter de manière invisible des instructions qui persistent d'un appareil à l'autre, d'une session à l'autre, et même d'un navigateur à l'autre. »

« Lors de nos tests, une fois la mémoire de ChatGPT compromise, des requêtes "normales" ultérieures pouvaient déclencher des extractions de code, des élévations de privilèges ou des exfiltrations de données sans que les mécanismes de protection efficaces ne soient activés. »

[] (https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjo3qChbhsdwivpSUSwDoK1NN1KwRYEjkFFzZEs0Ds9z2ENrVryc1YiL_39sjFT4HzKD3yq0ZVH4esLxkUj1KOnouQ2n-uug2-F_8-WbTT7HnBlX7eWDrUpfyk4f4UFAnvsIMzMfpk_jkTRj4lG2S-0KKEnDUYF96V451r6XDPQTHIvxIxH48_Y_b7gHQnF/s790-rw-e365/layerx.jpg)

Le L'attaque se déroule comme suit :

• L'utilisateur se connecte à ChatGPT.

• Il est piégé et amené à cliquer sur un lien malveillant par ingénierie sociale.

• La page web malveillante déclenche une requête CSRF, exploitant l'authentification de l'utilisateur pour injecter des instructions cachées dans la mémoire de ChatGPT à son insu.

• Lorsque l'utilisateur interroge ChatGPT à des fins légitimes, les données corrompues sont invoquées, permettant l'exécution de code malveillant.

Les détails techniques de l'attaque n'ont pas été divulgués. Selon LayerX, le problème est aggravé par le manque de protections anti-phishing robustes dans ChatGPT Atlas. Cette société spécialisée dans la sécurité des navigateurs ajoute que les utilisateurs sont jusqu'à 90 % plus exposés qu'avec des navigateurs traditionnels comme Google Chrome ou Microsoft Edge.

Lors de tests menés sur plus de 100 vulnérabilités web et attaques de phishing rencontrées en conditions réelles, Edge a réussi à en bloquer 53 %, suivi de Google Chrome (47 %) et de Dia (46 %). En revanche, Comet de Perplexit et ChatGPT Atlas n'ont bloqué que 7 % et 5,8 % des pages web malveillantes, respectivement.

Ceci ouvre la voie à un large éventail de scénarios d'attaque, notamment celui où une requête d'un développeur à ChatGPT pour générer du code peut inciter l'agent d'IA à insérer des instructions cachées lors de la génération de code.

Cette découverte intervient alors que NeuralTrust a démontré une attaque par injection de requête affectant ChatGPT Atlas. Dans ce cas, sa barre d'adresse peut être contournée en dissimulant une requête malveillante sous l'apparence d'une URL inoffensive. Cela fait suite à un rapport indiquant que les agents d'IA sont devenus le vecteur d'exfiltration de données le plus courant dans les environnements d'entreprise.

« Les navigateurs IA intègrent applications, identité et intelligence artificielle au sein d'une surface d'attaque unique », a déclaré Eshed. « Les vulnérabilités telles que les "Souvenirs corrompus" constituent la nouvelle chaîne d'approvisionnement : elles suivent l'utilisateur, contaminent son travail futur et brouillent la frontière entre l'automatisation utile de l'IA et le contrôle occulte. »

« À mesure que le navigateur devient l'interface commune de l'IA et que les nouveaux navigateurs agents intègrent l'IA directement dans l'expérience de navigation, les entreprises doivent considérer les navigateurs comme une infrastructure critique, car il s'agit du prochain champ d'application de la productivité et du travail de l'IA. »