È bastato un link malevolo per creare un agente IA che spiava per conto di un attaccante
Zenity Labs ha mostrato come un solo link ChatGPT manipolato potesse creare un agente autonomo dentro un’azienda, usando i permessi di un dipendente e controllando la posta dell’attaccante ogni cinque minuti. OpenAI ha corretto la falla.
I ricercatori di sicurezza di Zenity Labs hanno pubblicato una vulnerabilità che vale la pena capire anche se non usate mai software aziendale. Un solo link ChatGPT manipolato, inviato in un’e-mail dall’aspetto normale, bastava a creare un agente IA pienamente operativo dentro un’azienda. L’agente agiva con l’identità del dipendente, usava le applicazioni che quest’ultimo aveva già collegato e controllava poi la casella di posta dell’attaccante ogni cinque minuti in cerca di nuove istruzioni. Zenity lo chiama AgentForger.
Il meccanismo è più semplice di quanto sembri. Lo strumento di OpenAI per creare agenti accettava due impostazioni direttamente nell’indirizzo Web: il modello da cui partire e le istruzioni da dare al nuovo agente. La pagina non si limitava a incollare le istruzioni in una casella di testo perché l’utente potesse controllarle. Le eseguiva. Un attaccante poteva quindi scrivere l’intera configurazione come un elenco numerato, nasconderla in un link e lasciare che il browser della vittima costruisse l’agente. Bastava che la persona avesse effettuato l’accesso e autorizzato almeno un connettore, come Gmail, Outlook, Slack, Drive o Teams. Poiché quei permessi esistevano già, non appariva una nuova schermata di consenso che potesse destare sospetti.
Le istruzioni impostavano anche ogni richiesta di approvazione su «non chiedere mai» e programmavano l’esecuzione periodica dell’agente. Nella dimostrazione di Zenity, l’agente ha mappato l’intera organizzazione attraverso Outlook, Slack, Teams, Drive e Calendar, ha trovato in un messaggio Slack il nome utente e la password di un database e li ha inviati per e-mail all’attaccante. Ha inoltre spedito messaggi dall’account della vittima chiedendo ai colleghi di confermare un accesso su una pagina controllata dall’attaccante.
A rendere il caso più importante di un singolo bug è lo schema. Zenity descrive gli ingredienti come una combinazione letale: input non affidabile proveniente dall’esterno, accesso a dati privati tramite i connettori e un modo per inviare quei dati all’esterno. La maggior parte degli attacchi deve superare le richieste di approvazione che dovrebbero intercettarli. AgentForger non ne aveva bisogno, perché usava proprio lo strumento che configura quelle richieste. I software di sicurezza tradizionali sorvegliano utenti e dispositivi, non agenti che agiscono attraverso l’identità legittima di un utente.
C’è una notizia davvero positiva. Zenity ha segnalato la falla il 4 giugno tramite il programma bug bounty di OpenAI; OpenAI l’ha confermata il giorno seguente e ha pubblicato una correzione l’8 giugno, eliminando il parametro incriminato dal link. I ricercatori hanno elogiato la rapidità della risposta.
Cosa significa per te: Non c’è nulla da aggiornare, ma vale la pena adottare un’abitudine. Trattate un link che apre uno strumento di IA con un prompt già compilato come trattereste una fattura inattesa: leggetelo prima di lasciarlo eseguire. Se al lavoro usate assistenti collegati ai vostri account, mantenete attive le richieste di approvazione anche quando sono fastidiose e controllate ogni tanto se nell’account esistono agenti, automazioni o attività programmate che non ricordate di aver creato. Più un assistente può fare senza chiedere, più danni può provocare quando è qualcun altro a fornire le istruzioni.
Fonti
Fonti: https://labs.zenity.io/p/agentforger-part-1-chatgpt-cross-site-agent-forgery
Opus 5 di Anthropic è più piccolo ed economico, ma supera il fratello maggiore
Anthropic ha pubblicato Opus 5 il 24 luglio. La sorpresa non è la potenza pura, ma il prezzo: eguaglia o supera di poco il più costoso Fable 5 in diversi test, pur costando meno.
