Scoperto ShadowLeak, un attacco che sfrutta un bug zero-click di ChatGPT

I ricercatori di Radware hanno dettagliato ShadowLeak, un attacco che sfrutta un bug zero-click di Deep Research di ChatGPT per esfiltrare dati.

Deep Research è una funzionalità agentica del chatbot in grado di effettuare ricerche approfondite in rete e analizzare i dati raccolti. L’utente specifica un argomento o una domanda e il chatbot ricerca tra articoli, paper scientifici, siti web specializzati e documenti per apprendere tutto ciò che può sul tema; in seguito, genera un report dettagliato consultabile dall’utente.

La particolarità di Deep Research è che può essere integrato con servizi come GitHub o Gmail ed effettuare quindi ricerche sui dati personali dell’utente. Nell’attacco ShadowLeak, gli attaccanti sfruttano proprio questa integrazione per esfiltrare dati sensibili dalle email senza che la vittima se ne accorga.

Il flusso di attacco è piuttosto semplice: inizialmente, i cybercriminali inviano un’email alla vittima senza alcun messaggio sospetto. L’email contiene però un prompt, nascosto nel body HTML o semplicemente offuscato, che quando viene letto da Deep Research forza il chatbot a raccogliere i dati sensibili e inviarli a un URL che punta a un server controllato dagli attaccanti.

Il prompt nascosto può, per esempio, ordinare a ChatGPT di individuare nelle email ricevute il nome completo della vittima, il suo indirizzo di residenza, il suo numero di telefono o altri dati sensibili. A questo punto è sufficiente attendere che l’utente effettui una ricerca sulle email tramite Deep Research e che il chatbot elabori il prompt nascosto per far cominciare il processo di esfiltrazione.

La difficoltà principale dell’attacco sta nella scrittura di un prompt efficace, difficoltà facilmente superabile dopo qualche raffinamento; per il resto, il flusso è lineare e soprattutto non richiede alcuna interazione utente.

“Il leak avviene server-side, interamente all’interno dell’ambiente cloud di OpenAI“ spiegano i ricercatori. “Il tool built-in di ricerca dell’agente effettuate l’esfiltrazione in maniera autonoma, senza coinvolgere il client“.

Per proteggersi dall’attacco, il team di Radware consiglia di sanificare le email prima che vengano analizzate da ChatGPT, eliminando elementi HTML sospetti e caratteri offuscati, e normalizzando il CSS non visibile. Oltre a ciò, è fondamentale monitorare il comportamento del chatbot per assicurarsi che non effettui azioni sospette.

Radware ha individuato il problema a giugno e lo ha notificato a OpenAI. La compagnia ha risolto il bug di ChatGPT a inizio agosto e ha comunicato l’avvenuta risoluzione a inizio settembre.