Un seul lien malveillant suffisait à créer un agent IA espionnant pour le compte d’un attaquant

Les chercheurs en sécurité de Zenity Labs ont publié les détails d’une faille qu’il est utile de comprendre, même si vous ne touchez jamais aux logiciels d’entreprise. Un seul lien ChatGPT manipulé, envoyé dans un e-mail d’apparence ordinaire, suffisait à créer un agent IA pleinement opérationnel dans une entreprise. L’agent agissait sous l’identité du salarié, utilisait les applications que celui-ci avait déjà connectées, puis consultait toutes les cinq minutes la boîte aux lettres de l’attaquant pour recevoir de nouvelles instructions. Zenity l’a baptisé AgentForger.

Le mécanisme est plus simple qu’il n’y paraît. L’outil de création d’agents d’OpenAI acceptait deux paramètres directement dans l’adresse Web : le modèle de départ et les instructions à donner au nouvel agent. La page ne se contentait pas de copier ces instructions dans une zone de texte afin que l’utilisateur les vérifie. Elle les exécutait. Un attaquant pouvait donc rédiger toute la configuration sous forme de liste numérotée, la cacher dans un lien et laisser le navigateur de la victime construire l’agent. Il suffisait que la personne soit connectée et ait déjà autorisé au moins un connecteur comme Gmail, Outlook, Slack, Drive ou Teams. Ces autorisations existant déjà, aucun nouvel écran de consentement ne venait éveiller les soupçons.

Les instructions faisaient également passer toutes les demandes d’approbation sur « ne jamais demander » et programmaient l’exécution récurrente de l’agent. Dans la démonstration de Zenity, celui-ci a cartographié toute l’organisation à partir d’Outlook, Slack, Teams, Drive et Calendar, trouvé un nom d’utilisateur et un mot de passe de base de données dans un message Slack, puis envoyé les deux par e-mail à l’attaquant. Il a aussi expédié depuis le compte de la victime des messages demandant à ses collègues de confirmer une connexion sur une page contrôlée par l’attaquant.

Le schéma général rend cette affaire plus importante qu’un simple bug. Zenity qualifie ses ingrédients de trio mortel : des données non fiables venues de l’extérieur, un accès aux données privées par les connecteurs et un moyen de renvoyer ces données. La plupart des attaques doivent contourner les demandes d’approbation censées les intercepter. AgentForger n’en avait pas besoin, car il utilisait précisément l’outil qui configure ces demandes. Les logiciels de sécurité traditionnels surveillent les utilisateurs et les appareils, pas les agents qui agissent sous l’identité légitime d’un utilisateur.

Il y a une vraie bonne nouvelle. Zenity a signalé la faille le 4 juin dans le cadre du programme de primes aux bugs d’OpenAI. OpenAI l’a confirmée le lendemain et a déployé un correctif le 8 juin en supprimant le paramètre de lien concerné. Les chercheurs ont salué la rapidité de la réaction.

Ce que cela signifie pour vous : Vous n’avez rien à mettre à jour, mais une habitude mérite d’être adoptée. Traitez un lien ouvrant un outil d’IA avec un prompt déjà rempli comme une facture inattendue : lisez-le avant de le laisser s’exécuter. Si vous utilisez au travail des assistants reliés à vos comptes, laissez les demandes d’approbation activées même si elles sont agaçantes et vérifiez de temps à autre si votre compte contient des agents, automatisations ou tâches planifiées dont vous ne vous souvenez pas. Plus un assistant peut agir sans demander, plus il peut causer de dégâts lorsque quelqu’un d’autre lui fournit les instructions.

Sources

• Zenity Labs : AgentForger, première partie
• Zenity Labs : AgentForger, deuxième partie
• The Decoder : un lien ChatGPT falsifié pouvait créer un agent IA incontrôlable