Разработчики OpenAI устранили уязвимость в macOS-версии приложения ChatGPT, которая потенциально позволяла посторонним лицам получить доступ к конфиденциальным данным пользователей. Ошибка была выявлена аналитиками Objective-See Foundation и позволяла злоумышленникам фактически перехватить управление приложением, получив доступ к истории чатов и активным сессиям в браузере.
Механизм работы уязвимости и пути ее эксплуатации
Согласно отчету Патрика Уордла, аналитика Objective-See Foundation и эксперта по безопасности macOS, проблема заключалась в нарушении системы проверки цифровых подписей между компонентами приложения. Хотя архитектура ChatGPT предполагает многоуровневую проверку процессов для предотвращения несанкционированного доступа, исследователи нашли способ обойти эти защитные меры.
Система безопасности приложения требует подтверждения легитимности запросов на трех уровнях. Однако, как выяснили эксперты, злоумышленники могли использовать компонент-интерпретатор скриптов, который принимал вредоносные команды и внедрял их в основной процесс ChatGPT. В ходе эксперимента Уордл продемонстрировал, что достаточно запустить интерпретатор трижды, чтобы обойти проверки родительских процессов и выполнить вредоносный код.
Патрик Уордл охарактеризовал эксплуатацию данной уязвимости как «невероятно тривиальную» и отметил, что созданный им концепт атаки требовал всего около 12 строк кода. Помимо чтения переписки, ошибка позволяла злоумышленникам заставлять приложение выполнять команды от имени пользователя, включая получение доступа к другим чувствительным данным или приложениям.
Реакция OpenAI и общие риски для ИИ-инструментов
Компания OpenAI официально подтвердила наличие проблемы и выпустила соответствующее обновление 25 сентября. Представитель организации Шейн Бауэр в комментарии для WIRED заявил, что компания продолжает развивать свои методы обеспечения безопасности и осознает необходимость ускорения процессов реагирования на подобные угрозы.
Эксперты указывают на то, что современные ИИ-платформы требуют глубокого доступа к системным ресурсам для выполнения своих функций. Патрик Уордл сравнил такие приложения с «управляющими зданием», у которых есть ключи от всех комнат. Если система управления ИИ-агентом оказывается скомпрометирована, это дает атакующему расширенные привилегии, которые обычно недоступны обычному стороннему коду.
Стоит отметить, что это не единственный инцидент, связанный с разработками в сфере ИИ. Ранее Уордл обнаружил уязвимость в функции диктовки ИИ-ассистента Muse от Meta, которая позволяла локальному злоумышленнику украсть токен аутентификации. Кроме того, исследователь сообщил о новой находке, связанной с интеграцией ChatGPT и ассистента Dots, отчет по которой в настоящее время находится на стадии рассмотрения специалистами OpenAI.
По мнению Уордла, текущая ситуация в индустрии характеризуется приоритетом функциональности над безопасностью. «ИИ-компании сейчас зациклены на добавлении новых функций, но, как это всегда бывает, чем больше возможностей, тем шире поверхность атаки. Разработчикам необходимо сосредоточиться на безопасности, которая до сих пор часто воспринимается лишь как второстепенная задача», — резюмировал аналитик.
Почему ИИ-агенты становятся приоритетной целью
Исследователи Objective-See Foundation подчеркивают, что этот инцидент наглядно демонстрирует фундаментальную проблему доверия. ИИ-агенты проектируются как универсальные инструменты, требующие глубокого взаимодействия с операционной системой для выполнения повседневных задач пользователя. Патрик Уордл отмечает: «Агенты подобны управляющему зданием, у которого есть ключи от всех дверей. Если такой инструмент оказывается скомпрометирован или подконтролен злоумышленнику, это создает критическую брешь, позволяющую коду с низкими привилегиями получить доступ ко всем защищенным областям системы».
Технические детали защиты и уязвимости
Система безопасности macOS-клиента ChatGPT была спроектирована с учетом строгих проверок цифровых подписей. Чтобы исключить ситуацию, при которой вредоносное ПО могло бы использовать компоненты OpenAI в качестве «прокси» для выполнения нелегитимных запросов, разработчики внедрили многоуровневую систему проверки. Она анализирует не только текущий процесс, но и проверяет цепочку из родительского и прародительского процессов.
Однако в ходе анализа выяснилось, что один из доверенных компонентов — интерпретатор скриптов — оказался уязвим к манипуляциям. Злоумышленник мог передать интерпретатору набор команд, который затем внедрялся в основной процесс ChatGPT. Обход многоуровневой защиты осуществлялся путем циклического запуска интерпретатора три раза подряд, что позволяло успешно имитировать цепочку доверенных процессов, требуемую системой проверки, и в конечном итоге обмануть механизмы контроля безопасности приложения.
Предстоящие доклады и дальнейшие риски
Более подробный разбор подобных критических уязвимостей в macOS-приложениях с поддержкой ИИ Патрик Уордл планирует представить в ноябре на конференции Objective by the Sea, посвященной вопросам безопасности экосистемы Apple. Уордл продолжает активно исследовать этот сегмент: помимо уже упомянутого случая с Meta Muse, он работает над анализом интеграции ChatGPT с новым постоянно активным помощником Dots. По словам эксперта, в текущих условиях гонки вооружений в индустрии ИИ безопасность нередко остается на втором плане, что неизбежно ведет к расширению поверхности атаки по мере усложнения функционала пользовательских приложений.
