Soporte técnico
Documentación
Inicio de sesión
Póngase en contacto con nosotros
Vulnerabilidades de seguridad del plugin ChatGPT explotadas por piratas informáticos
Wajahat Raja
26 de marzo de 2024 - Equipo de expertos TuxCare
En el ámbito de la ciberseguridad, la vigilancia constante es primordial, ya que las amenazas buscan continuamente nuevas formas de explotar las vulnerabilidades. Investigaciones recientes han arrojado luz sobre una tendencia preocupante: el posible uso indebido de plugins de terceros asociados a la plataforma OpenAI ChatGPT de OpenAI. Estos Vulnerabilidades de seguridad de los plugins ChatGPTdestinadas a mejorar la experiencia y funcionalidad del usuario, se han convertido inadvertidamente en un caldo de cultivo para lagunas de seguridad, allanando el camino para accesos no autorizados y violaciones de datos.
Descubrimiento de las vulnerabilidades de seguridad del plugin ChatGPT
Los informes afirman que Salt Labs, una empresa de investigación en ciberseguridad, ha examinado meticulosamente el panorama que rodea a los plugins ChatGPT, descubriendo vulnerabilidades que plantean riesgos significativos tanto para los usuarios como para las organizaciones. Estos vulnerabilidades de seguridad de los plugins de ChatGPT se extienden no sólo al marco central de ChatGPT, sino también al ecosistema más amplio de plugins, abriendo puertas para que los actores maliciosos se infiltren en los sistemas y comprometan datos sensibles.
Un descubrimiento notable de Salt Labs se refiere a fallos en el flujo de trabajo OAuth, un mecanismo utilizado para la autenticación y autorización de usuarios. Explotando esta vulnerabilidad, los actores de amenazas podrían engañar a los usuarios para que instalen plugins maliciosos sin darse cuenta, obteniendo así acceso no autorizado a información sensible. Tales vulnerabilidades de seguridad de los plugins de ChatGPT representan un descuido crítico, ya que ChatGPT no valida la legitimidad de las instalaciones de plugins, dejando a los usuarios vulnerables a la explotación.
Otra revelación preocupante tiene que ver con PluginLab, una plataforma integral del ecosistema ChatGPT. Salt Labs identificó debilidades en PluginLab que podrían ser aprovechadas para ataques de toma de control de cuentas sin hacer clic. Al eludir los protocolos de autenticación, los atacantes podrían hacerse con el control de las cuentas de la organización en plataformas como GitHub, lo que podría comprometer los repositorios de código fuente y otros activos de propiedad.
Mitigación de accesos no autorizados mediante plugins ChatGPT
Además de estos exploits, Salt Labs identificó un bug de manipulación de redirección OAuth prevalente en varios plugins, incluyendo Kesem AI. Esta vulnerabilidad, si es explotada, podría facilitar el robo de credenciales del plugin, otorgando a los atacantes acceso no autorizado a las cuentas asociadas. Estas brechas no sólo comprometen las cuentas de usuarios individuales, sino que también plantean riesgos de seguridad más amplios para las organizaciones que utilizan estos plugins en su infraestructura.
Estos resultados subrayan la naturaleza colaborativa de la investigación en ciberseguridad, en la que expertos del mundo académico y de la industria convergen para identificar y abordar las amenazas emergentes. La información proporcionada por Salt Labs sirve como toque de clarín para una mayor vigilancia y medidas proactivas para salvaguardar los ecosistemas digitales contra los actores maliciosos.
Ataques por canal lateral
Paralelamente a las vulnerabilidades identificadas en el ecosistema ChatGPT, los investigadores también han descubierto un vector de amenaza distinto dirigido a los asistentes de IA. Esta amenaza, conocida como ataque de canal lateral, aprovecha las características inherentes de los modelos lingüísticos para inferir información sensible transmitida a través de canales cifrados.
El quid de este ataque por canal lateral reside en descifrar las respuestas cifradas intercambiadas entre los asistentes de IA y los usuarios. Analizando la longitud de los tokens transmitidos a través de la red, los adversarios pueden obtener información sobre el contenido de las comunicaciones cifradas, lo que podría comprometer la confidencialidad.
Aprovechamiento de la inferencia de longitud de token
Una de las claves del éxito de este ataque es la capacidad de deducir la longitud de los tokens a partir del tráfico de red, un proceso facilitado por modelos de aprendizaje automático entrenados para correlacionar la longitud de los tokens con las respuestas en texto plano. Mediante un análisis meticuloso de las cabeceras de los paquetes y la transmisión secuencial de tokens, los atacantes pueden reconstruir conversaciones y extraer datos confidenciales.
Plugins personalizados para proteger ChatGPT
Para mitigar los riesgos de los plugins ChatGPT de terceros que plantean los ataques de canal lateral, es imperativo que los desarrolladores de asistentes de IA apliquen medidas de seguridad sólidas. Las técnicas de relleno aleatorio pueden ofuscar la longitud de los tokens, frustrando los intentos de inferencia por parte de los adversarios. Además, la transmisión de tokens en grupos más grandes y la entrega de respuestas completas a la vez pueden fortalecer aún más los protocolos de cifrado, mejorando la postura de seguridad general.
Consideraciones sobre la seguridad de la API ChatGPT
A medida que las organizaciones navegan por el complejo panorama de la ciberseguridad, lograr un equilibrio entre seguridad, usabilidad y rendimiento sigue siendo una preocupación primordial. Las recomendaciones formuladas por los investigadores subrayan la importancia de adoptar medidas proactivas para mitigar las amenazas emergentes y garantizar al mismo tiempo una experiencia de usuario fluida.
Estos incluyen la realización de pruebas de penetración ChatGPT para detectar vulnerabilidades para garantizar la aplicación de medidas de seguridad sólidas. Además, utilice los mejores plugins ChatGPT para flujos de trabajo seguros para mejorar la productividad y proteger las interacciones digitales.
Conclusión
Ante la evolución de las ciberamenazas, la vigilancia y la colaboración son indispensables. Las vulnerabilidades descubiertas en el ecosistema ChatGPT y el inminente espectro de los ataques de canal lateral son recordatorios conmovedores de la constante carrera armamentística entre defensores y adversarios.
Implementación de un desarrollo responsable de los plugins ChatGPT para mantener la seguridad de los usuarios y las normas de integridad de los datos es, por tanto, esencial. Prestando atención a las conclusiones extraídas de la investigación sobre ciberseguridad y aplicando las mejores prácticas de los plugins ChatGPT de las mejores prácticas del plugin ChatGPT de OpenAI así como sólidas estrategias de mitigación, las organizaciones pueden fortalecer sus defensas y protegerse contra las amenazas emergentes en un panorama digital en constante cambio.
Las fuentes de este artículo incluyen artículos en The Hacker News y Semana de la Seguridad.
