Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
No campo da segurança cibernética, a vigilância constante é fundamental, já que os agentes mal-intencionados buscam incessantemente novas formas de explorar vulnerabilidades. Pesquisas recentes revelaram uma tendência preocupante: o possível uso indevido de plug-ins de terceiros associados à plataforma ChatGPT da OpenAI ChatGPT da OpenAI. Esses vulnerabilidades de segurança dos plug-ins do ChatGPT, criadas com o objetivo de aprimorar a experiência do usuário e a funcionalidade, tornaram-se inadvertidamente um terreno fértil para brechas de segurança, abrindo caminho para acessos não autorizados e vazamentos de dados.
Revelando vulnerabilidades de segurança nos plug-ins do ChatGPT
Relatórios indicarem que a Salt Labs, uma empresa de pesquisa em segurança cibernética, examinou meticulosamente o panorama em torno dos plug-ins do ChatGPT, revelando vulnerabilidades que representam riscos significativos tanto para usuários quanto para organizações. Essas vulnerabilidades de segurança dos plug-ins do ChatGPT se estendem não apenas à estrutura central do ChatGPT, mas também ao ecossistema mais amplo de plug-ins, abrindo portas para que agentes mal-intencionados se infiltrem nos sistemas e comprometam dados confidenciais.
Uma descoberta notável da Salt Labs diz respeito a falhas no fluxo de trabalho do OAuth, um mecanismo utilizado para autenticação e autorização de usuários. Ao explorar essa vulnerabilidade, agentes mal-intencionados poderiam induzir os usuários a instalar, sem saber, plug-ins maliciosos, obtendo assim acesso não autorizado a informações confidenciais. Essas vulnerabilidades de segurança dos plug-ins do ChatGPT representam uma falha crítica, já que o ChatGPT não valida a legitimidade das instalações de plug-ins, deixando os usuários vulneráveis à exploração.
Outra revelação preocupante envolve o PluginLab, uma plataforma essencial ao ecossistema do ChatGPT. A Salt Labs identificou vulnerabilidades no PluginLab que poderiam ser exploradas para ataques de apropriação de contas sem necessidade de cliques. Ao contornar os protocolos de autenticação, os invasores poderiam assumir o controle de contas corporativas em plataformas como o GitHub, comprometendo potencialmente repositórios de código-fonte e outros ativos proprietários.
Mitigação do acesso não autorizado por meio de plug-ins do ChatGPT
Além dessas falhas, a Salt Labs identificou um bug de manipulação de redirecionamento do OAuth presente em vários plug-ins, incluindo o Kesem AI. Essa vulnerabilidade, se explorada, poderia facilitar o roubo de credenciais dos plug-ins, concedendo aos invasores acesso não autorizado às contas associadas. Tais violações não apenas comprometem as contas individuais dos usuários, mas também representam riscos de segurança mais amplos para as organizações que utilizam esses plug-ins em sua infraestrutura.
Essas descobertas ressaltam a natureza colaborativa da pesquisa em segurança cibernética, na qual especialistas do meio acadêmico e do setor privado se unem para identificar e combater ameaças emergentes. As informações fornecidas pela Salt Labs servem como um alerta para que se mantenha maior vigilância e se adotem medidas proativas para proteger os ecossistemas digitais contra agentes mal-intencionados.
Como lidar com ataques de canal lateral
Paralelamente às vulnerabilidades identificadas no ecossistema do ChatGPT, os pesquisadores também descobriram um vetor de ameaça distinto que tem como alvo os assistentes de IA. Essa ameaça, conhecida como ataque de canal lateral, explora características inerentes aos modelos de linguagem para inferir informações confidenciais transmitidas por canais criptografados.
O ponto-chave desse ataque de canal lateral reside na decifração das respostas criptografadas trocadas entre assistentes de IA e usuários. Ao analisar o comprimento dos tokens transmitidos pela rede, os invasores podem obter informações sobre o conteúdo das comunicações criptografadas, comprometendo potencialmente a confidencialidade.
Aproveitando a inferência do comprimento do token
Um fator fundamental para o sucesso desse ataque é a capacidade de inferir os comprimentos dos tokens a partir do tráfego de rede, um processo facilitado por modelos de aprendizado de máquina treinados para correlacionar os comprimentos dos tokens com respostas em texto simples. Por meio de uma análise meticulosa dos cabeçalhos dos pacotes e da transmissão sequencial dos tokens, os invasores podem reconstruir conversas e extrair dados confidenciais.
Plug-ins personalizados para proteger o ChatGPT
Para mitigar os riscos dos plug-ins de terceiros do ChatGPT representados por ataques de canal lateral, é imperativo que os desenvolvedores de assistentes de IA implementem medidas de segurança robustas. Técnicas de preenchimento aleatório podem ocultar os comprimentos dos tokens, frustrando tentativas de inferência por parte de adversários. Além disso, transmitir tokens em grupos maiores e fornecer respostas completas de uma só vez pode fortalecer ainda mais os protocolos de criptografia, aprimorando a postura geral de segurança.
Considerações sobre segurança da API do ChatGPT
À medida que as organizações navegam pelo complexo cenário da segurança cibernética, encontrar um equilíbrio entre segurança, usabilidade e desempenho continua sendo uma preocupação fundamental. As recomendações apresentadas pelos pesquisadores ressaltam a importância de adotar medidas proativas para mitigar ameaças emergentes, garantindo, ao mesmo tempo, experiências de usuário sem interrupções.
Isso inclui a realização de testes de penetração no ChatGPT para identificar vulnerabilidades para garantir que medidas de segurança robustas estejam em vigor. Além disso, utilize os melhores plug-ins do ChatGPT para fluxos de trabalho seguros para aumentar a produtividade e proteger as interações digitais.
Conclusão
Diante das ameaças cibernéticas em constante evolução, a vigilância e a colaboração são indispensáveis. As vulnerabilidades descobertas no ecossistema do ChatGPT e o espectro iminente dos ataques de canal lateral servem como lembretes contundentes da constante corrida armamentista entre defensores e adversários.
Implementação desenvolvimento responsável para plug-ins do ChatGPT para garantir os padrões de segurança do usuário e integridade dos dados é, portanto, essencial. Ao levar em conta as percepções obtidas a partir de pesquisas em segurança cibernética e implementar melhores práticas para plug-ins do ChatGPT da OpenAI , bem como estratégias robustas de mitigação, as organizações podem fortalecer suas defesas e proteger-se contra ameaças emergentes em um cenário digital em constante mudança.
As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e Security Week.
