Beveiligingslek bij ChatGPT ontdekt: zo konden aanvallers je e-mails in Gmail lezen
Steeds meer mensen koppelen digitale diensten aan elkaar om sneller te kunnen werken. Dat is handig, maar daardoor krijgen toepassingen soms toegang tot veel meer persoonlijke informatie. Beveiligingsonderzoekers blijven daarom testen of die verbindingen voldoende zijn afgeschermd. Daarbij is nu een kwetsbaarheid aan het licht gekomen die laat zien hoe ver de gevolgen kunnen gaan. Het probleem is inmiddels aangepakt, maar het onderzoek bevat een belangrijke waarschuwing voor iedereen die externe diensten aan een AI-assistent koppelt.
Beveiligingslek ontdekt bij ChatGPT
Onderzoekers van Check Point Research ontdekten een verborgen communicatiekanaal tussen afzonderlijke ChatGPT-accounts. Sessies van verschillende gebruikers horen strikt van elkaar gescheiden te zijn, maar via een gedeelde interne dienst bleek toch communicatie mogelijk.
Het probleem zat bij een interne JFrog Artifactory-omgeving die werd gebruikt voor het beschikbaar stellen van softwarepakketten. Verschillende geïsoleerde omgevingen konden metadata binnen die gedeelde dienst lezen en schrijven. Daardoor ontstond in de praktijk een soort verborgen doorgeefluik tussen accounts.
Dat klinkt technisch, maar de mogelijke gevolgen waren heel concreet. Een aanvaller kon via dat kanaal een verborgen opdracht klaarzetten die vervolgens door de ChatGPT-sessie van een ander werd uitgevoerd.
Zo konden gegevens uit Gmail worden opgehaald
Daarvoor moest eerst een kwaadaardige instructie in de context van het slachtoffer terechtkomen. Check Point beschrijft verschillende manieren waarop dat mogelijk was, bijvoorbeeld via een gemanipuleerde prompt, een gedeeld ChatGPT-gesprek of een aangepaste GPT met verborgen instructies.
Daarna kon een gewone vraag van de gebruiker voldoende zijn om ook de verborgen opdracht te activeren. Je kon bijvoorbeeld ChatGPT iets alledaags vragen en gewoon een normaal antwoord op je scherm krijgen. Tegelijkertijd kon op de achtergrond een tweede opdracht worden uitgevoerd.
Tijdens een demonstratie lieten de onderzoekers ChatGPT gegevens ophalen uit een Gmail-account dat door het slachtoffer aan ChatGPT was gekoppeld. Die informatie werd daarna via het verborgen kanaal naar de sessie van de aanvaller gestuurd.
Gebruiker zag nauwelijks wat er gebeurde
Juist dat maakt het beveiligingsprobleem belangrijk. In het zichtbare gesprek hoefde niets vreemds te verschijnen. ChatGPT gaf antwoord op de oorspronkelijke vraag, terwijl tegelijkertijd een andere taak werd uitgevoerd.
Er was wel een aanwijzing te zien. Bij het antwoord kon het label ‘Talked to Gmail’ verschijnen. Dat gaf aan dat Gmail was gebruikt, maar de actie had op dat moment al plaatsgevonden. De gebruiker kreeg daarmee niet vooraf de mogelijkheid om die specifieke leesactie tegen te houden.
Hoeveel informatie bereikbaar was, hing af van de rechten die ChatGPT binnen de betreffende sessie al had. Naast Gmail konden daardoor ook gegevens uit andere gekoppelde toepassingen een risico vormen wanneer de sessie daar toegang toe had.
Kwetsbaarheid is inmiddels verholpen
Het goede nieuws is dat het beschreven lek niet meer op deze manier misbruikt kan worden. Check Point meldde de bevindingen bij OpenAI. De interne Artifactory-omgeving die het verborgen communicatiekanaal mogelijk maakte, is inmiddels buiten gebruik gesteld.
Er is bovendien geen publiek bewijs dat criminelen deze specifieke kwetsbaarheid daadwerkelijk hebben gebruikt om gegevens van gebruikers te stelen. Het gaat om een aanval die beveiligingsonderzoekers hebben aangetoond.
Toch blijft er een duidelijke les over. Hoe meer diensten je met een AI-assistent verbindt, hoe groter de hoeveelheid informatie waartoe die assistent toegang kan krijgen. Het is daarom verstandig om regelmatig te controleren welke apps je gekoppeld hebt en verbindingen die je niet meer gebruikt weer te verwijderen.
