Tehdit aktörleri, ChatGPT'nin ekosistemini, kötü amaçlı kod oluşturmaya yönelik istemler oluşturmak, kimlik avı tuzakları ve dezenformasyon içeriği gibi çeşitli yasa dışı amaçlarla kullanabilir.
Tehdit aktörleri bile çok sayıda karmaşık ve gizli siber saldırı oluşturmak ve başlatmak için ChatGPT'nin olağanüstü yeteneklerinden yararlanabilir.
Bunun yanı sıra, kullanıcı verilerine veya harici sistemlere yetkisiz erişim sağlamak için ChatGPT uzantılarındaki veya eklentilerindeki güvenlik açıklarından da yararlanabilirler.
Son zamanlarda Salt Labs'taki siber güvenlik analistleri, üretken yapay zekanın yeni bir saldırı vektörü olduğunu buldu.
Tehdit aktörleri, ChatGPT ekosisteminde keşfedilen güvenlik açıklarından yararlanarak kullanıcı hesaplarına, hatta GitHub'a bile 0 tıklamayla erişmeye çalışabilir.
Kritik ChatGPT Eklentileri Kusuru
Salt Laboratuvarlarında araştırmacılar tanıdık olana bakıyor ve sonuçlarının yapay zeka sistemleri için daha geniş sonuçlar doğuracağını varsayarak başlangıç noktası olarak ChatGPT'yi seçiyor.
Güvenlik Açığı ve 0 Günlük Tehditlerin Azaltılması
Güvenlik ekiplerinin 100'lerce güvenlik açığını önceliklendirmesi gerekmediğinden, hiç kimseye yardımcı olmayan Yorgunluk Uyarısı.:
- Günümüzün kırılganlık yorgunluğu sorunu
- CVSS'ye özgü güvenlik açığı ile risk tabanlı güvenlik açığı arasındaki fark
- Güvenlik açıklarının iş etkisine/riskine göre değerlendirilmesi
- Uyarı yorgunluğunu azaltmak ve güvenlik duruşunu önemli ölçüde geliştirmek için otomasyon
Riski doğru bir şekilde ölçmenize yardımcı olan AcuRisQ:
Yerinizi ayırtın
Yalnızca ChatGPT'yi incelediler ve eklenti ekosisteminde, bu eklentilerin ağları harici kaynaklarla etkileşime girecek şekilde hassaslaştırdığı bazı kusurlar buldular.
Bu tür eklentilerin kullanılması, hassas verilerin kasıtsız olarak açığa çıkması riskine yol açarak kullanıcıların Google Drive ve GitHub gibi hesaplarına erişime olanak tanır.
.webp)
Araştırma üç güvenlik açığını ortaya çıkardı ve aşağıda bunlardan bahsettik: –
- ChatGPT kullanıcılarına kötü amaçlı eklenti kurulumu
- Birçok eklentide kritik veya 0 tıklamayla hesap devralma işlemleri
- OAuth yeniden yönlendirme manipülasyonu
Ancak odak noktası, geliştiricilerin güvenlik farkındalığı eksikliğinden kaynaklanan yinelenen güvenlik açıklarıydı.
Siber güvenlik analistleri, OpenAI'yi eklenti geliştiricileri için güvenlik yönergelerine öncelik vermeye çağırıyor.
Araştırmacılar, saldırganların kurbanları kötü amaçlı ChatGPT eklentilerini yüklemeye yönlendirmesine olanak tanıyan bir OAuth güvenlik açığını ortaya çıkardı.
Saldırı, saldırganların kimlik doğrulama akışı sırasında kimlik bilgilerini değiştirdiği geleneksel OAuth yönlendirme manipülasyonunu yansıtıyor.
.webp)
Bir kullanıcı yeni bir ChatGPT eklentisini onayladığında, onay kodu bir yönlendirme URL'si aracılığıyla OpenAI'ye döndürülür.
Saldırgan bu kodu kendi koduyla değiştirerek ChatGPT'yi kurbanın adına eklentiyi yüklemesi ve mesajlara ve verilere erişim sağlaması için kandırabilir.
Tekrarlayan bu OAuth güvenlik açığı, bunun önemsiz olduğuna inanan birçok geliştiricinin gözetimi nedeniyle varlığını sürdürüyor. Uzmanlar, ChatGPT'nin eklenti ekosistemindeki bu kusurun ciddiyetini vurguluyor.
OAuth kullanıyorsanız ve bu duruma karşı korunmak istiyorsanız bir durum parametresini zorunlu kılmanız gerekir.
.webp)
Araştırmacılar, AskTheCode da dahil olmak üzere PluginLab.AI ile oluşturulan çok sayıda ChatGPT eklentisinde hesap ele geçirme güvenlik açığını ortaya çıkardı.
Kullanıcılar bu eklentileri yüklediğinde ve GitHub gibi hizmetlere erişim izni verdiğinde, eklentiler kullanıcının kimlik bilgilerini saklayan kimliği doğrulanmış hesaplar oluşturur.
Saldırganlar, kurbanın “üye kimliğini” PluginLab'dan almak için bir kimlik doğrulama atlamasından yararlanabilir ve ardından geçerli yetkilendirme kodları oluşturmak için bu kimliği kullanarak yetkisiz istekler gönderebilir.
Saldırganlar bu kodlarla ChatGPT içindeki eklenti oturumlarını ele geçirebilir ve GitHub depoları gibi bağlı özel verilere tam erişim sağlayabilir.
Temel neden, PluginLab'ın kimlik doğrulama akışı sırasında istekleri doğru şekilde doğrulayamamasıydı.
Üstelik siber güvenlik analistleri, GPT'lerin bu sorunu henüz tamamen çözemediğini belirtti.
Perimeter81 kötü amaçlı yazılım korumasıyla Truva atları, fidye yazılımları, casus yazılımlar, rootkit'ler, solucanlar ve sıfır gün saldırıları dahil olmak üzere kötü amaçlı yazılımları engelleyebilirsiniz. Hepsi inanılmaz derecede zararlıdır ve ağınıza zarar verebilir.
Siber Güvenlik haberleri, Teknik İncelemeler ve İnfografiklerden haberdar olun. Bizi LinkedIn'de takip edin & heyecan.