Luki bezpieczeństwa w popularnych przeglądarkowych agentach sztucznej inteligencji
Autonomiczne systemy nawigujące po stronach internetowych miały zrewolucjonizować sposób naszej pracy. Okazuje się jednak, że niosą ze sobą ogromne ryzyko. Najnowszy raport opublikowany przez badaczy z University of Washington dowodzi istnienia krytycznych błędów architektonicznych w popularnych agentach sztucznej inteligencji. Brak odpowiedniej izolacji danych sprawia, że asystenci tacy jak ChatGPT Atlas mogą nieświadomie wykradać poufne informacje użytkowników. Z perspektywy firm operujących na polskim rynku i administratorów IT zabezpieczających korporacyjne serwery, takie wektory ataków stanowią obecnie jedno z największych wyzwań.
Spis treści:
Wyniki testów bezpieczeństwa asystentów internetowych
Eksperci z University of Washington przeprowadzili szczegółową weryfikację typu proof of concept na siedmiu powszechnie dostępnych agentach przeglądarkowych. Raport nie pozostawia złudzeń. Aż cztery badane narzędzia, czyli ponad połowa testowanych programów, posiadają luki pozwalające na groźną ingerencję z zewnątrz. Głównym celem analityków był system ChatGPT Atlas, co pozwoliło dokładnie udokumentować mechanikę przejęcia kontroli nad jego procesami decyzyjnymi. Badanie uwidacznia kluczowy problem dzisiejszych rozwiązań sztucznej inteligencji. Skrypty te kompletnie nie radzą sobie z odróżnieniem bezpiecznych poleceń użytkownika od szkodliwego kodu ukrytego głęboko w witrynach. Narzędzia mające w zamyśle wspierać biznes i bezpiecznie przetwarzać potężne zbiory danych stają się gotowym wytrychem w rękach cyberprzestępców.
Mechanizm ataku poprzez ukryte instrukcje na stronach
Zidentyfikowany przez amerykańskich analityków problem wynika bezpośrednio z braku wspomnianej wcześniej izolacji danych. Jest to fundamentalna usterka wielu dużych modeli językowych. Oprogramowanie nie potrafi skutecznie wyznaczyć granicy pomiędzy autoryzowanymi komendami wprowadzanymi przez człowieka a obcymi treściami pobieranymi dynamicznie z odwiedzanych adresów URL.
Pośrednie wstrzykiwanie promptów w praktyce
Mechanizm przejęcia kontroli opiera się na technice określonej jako pośrednie wstrzykiwanie promptów. W realiach dzisiejszego internetu proces ten przebiega następująco:
- Napastnik umieszcza niewidoczny gołym okiem tekst na pozór bezpiecznej stronie www.
- Agent sztucznej inteligencji skanujący taką witrynę pobiera jej zawartość i błędnie klasyfikuje ukryty fragment jako nową instrukcję do priorytetowego wykonania.
- Złośliwe polecenie realizowane jest w pełnym ukryciu, co zazwyczaj skutkuje bezpowrotnym wyprowadzeniem wrażliwych pakietów informacji poza kontrolowany system ofiary.
Wyzwania dla programistów i omijanie zabezpieczeń przeglądarek
Twórcy innowacyjnych aplikacji stają przed wyjątkowo skomplikowanym dylematem. Z jednej strony pragną zachować pełną autonomię swoich projektów, ale równocześnie muszą respektować rygorystyczne standardy ochrony wymuszane przez współczesne przeglądarki. Tradycyjna architektura Same Origin Policy, blokująca dostęp do zasobów pomiędzy różnymi domenami, jest dzisiaj niezmiernie trudna do implementacji bez całkowitego paraliżowania podstawowych funkcji inteligentnych wtyczek. Zachwianie proporcji w tym aspekcie bezpośrednio naraża internautów na utratę dorobku czy wyciek firmowych tajemnic. Inżynierowie muszą czym prędzej zdefiniować nowatorskie metody weryfikacji zawartości. Brak zdecydowanych kroków oznacza, że infrastruktura wielu spółek pozostanie bezbronna wobec ataków typu zero day.
Ochrona przed kradzieżą danych i zalecenia dla użytkowników
Zanim technologiczni giganci opublikują stosowne łatki oprogramowania, każdy użytkownik musi wdrożyć własne środki zapobiegawcze. Ochrona domowych budżetów czy dostępów do systemów bankowych wymaga zrozumienia technologicznych limitów dzisiejszej sztucznej inteligencji. Absolutną podstawą jest zasada ograniczonego zaufania kierowana pod adresem wszelkich zautomatyzowanych pomocników. Nie powierzajmy algorytmom zadań wrażliwych. Zatwierdzanie transakcji finansowych, edycja infrastruktury serwerowej czy autoryzowanie dostępu do medycznych kartotek to operacje, które muszą pozostać pod naszą ścisłą i wyłączną kontrolą.
Powyższy materiał ma wymiar stricte informacyjny i edukacyjny, a jego wnioski opierają się na badaniach opublikowanych przez University of Washington. Raporty o usterkach oprogramowania odzwierciedlają stan na dzień publikacji, dlatego rekomendacje dotyczące cyberbezpieczeństwa mogą się deaktualizować wraz z kolejnymi poprawkami dystrybuowanymi przez twórców aplikacji.
