OpenAI устранила уязвимость под названием «вынужденный инсайдер» (coerced insider), обнаруженную экспертами Check Point Research (CPR). Ошибка позволяла ИИ-агентам извлекать конфиденциальные данные из одной учетной записи и передавать их в другую из-за работы в единой среде.
Проблема возникла в механизме обработки задач, требующих выполнения кода. Для установки дополнительного ПО без прямого доступа к интернету OpenAI использовала внутренний экземпляр JFrog Artifactory. Хотя контейнеры разных пользователей были изолированы, они имели доступ к одной внутренней службе управления объектами, которая позволяла прикреплять текстовые или бинарные свойства к элементам репозитория.
Злоумышленники могли использовать «инъекции запросов», чтобы заставить агента проверить хранилище и выполнить вредоносную команду. В это время агент продолжал отвечать на вопрос пользователя, и кража данных происходила незаметно. Объем доступных данных зависел от подключенных сторонних сервисов, таких как Gmail, Google Диск, Microsoft Teams и GitHub.
В ходе демонстрации ИИ-агент ChatGPT извлек данные из почты одного пользователя и передал их злоумышленнику. OpenAI подтвердила, что экземпляр Artifactory был выведен из эксплуатации, чтобы перекрыть вектор атаки. Эксперты рекомендуют компаниям контролировать инструменты ИИ, к которым имеют доступ сотрудники, и регламентировать действия агентов.