Sigurnosne zaštite u web pregledniku Atlas tvrtke OpenAI mogu se zaobići i prevariti kako bi sustav masovno slao neželjene poruke desecima kontakata na WhatsAppu ili obavljao neovlaštene kupnje na Amazonu, prema novom istraživanju predstavljenom na Black Hat konferenciji o kibernetičkoj sigurnosti u Las Vegasu. Ova otkrića, koja potpisuju istraživači iz sigurnosne tvrtke Zenity, dio su šireg niza nedostataka koje je tvrtka otkrila u vodećim web preglednicima i ekstenzijama s umjetnom inteligencijom, uključujući proizvode tvrtki Google, Anthropic, Microsoft i Perplexity. Istraživači su pronašli dvadesetak propusta koji su im omogućili pristup lokalnim računalima, krađu datoteka, preuzimanje upravitelja lozinkama i curenje cjelokupne povijesti pregledavanja korisnika, piše Wired.
“Oslabljene su sigurnosne kontrole preglednika – sada ponovno viđamo napade kakvi su se događali prije dvadeset godina”, izjavio je Michael Bargury, suosnivač i tehnički direktor Zenityja, koji je predstavio nalaze zajedno sa svojim kolegama. Integracije umjetne inteligencije u preglednike uglavnom dolaze u dva oblika: kao namjenski preglednici s ugrađenim AI asistentima ili kao ekstenzije koje dodaju AI funkcionalnosti u postojeće preglednike. Ovi botovi mogu se kretati web stranicama umjesto vas, sažimati sadržaj u nekoliko sekundi ili djelovati kao agenti koji poduzimaju radnje u vaše ime, često radeći istovremeno na više kartica. Međutim, stručnjaci za sigurnost upozoravaju da izlaganje AI sustava nepouzdanim podacima s interneta može dovesti do izvršavanja zlonamjernih uputa i napada ubacivanjem naredbi, što se smatra “neriješenim sigurnosnim problemom”.
U prvom dokazu koncepta napada, istraživači Zenityja zatražili su od Atlasa da se prijavi na poveznicu za newsletter koju su objavili na društvenoj mreži X. Zlonamjerna web stranica, na kojoj se odvijao proces prijave, sadržavala je skrivene upute, napisane na hebrejskom jeziku, koje su nalagale umjetnoj inteligenciji da otvori korisnikov prijavljeni WhatsApp Web račun i svakom kontaktu pošalje istu poruku. Istraživači su taj postupak opisali kao “masovnu phishing kampanju”. Napad, koji ne iskorištava ranjivost u samom WhatsAppu, uspijeva zaobilaženjem višestrukih sigurnosnih mehanizama koje je postavio OpenAI. To su postigli tako što su stranicu za prijavu dizajnirali da izgleda legitimno, koristili hebrejski jezik kako bi izbjegli sigurnosne alate usmjerene na engleski i lažno tvrdili sustavu da koristi izoliranu verziju WhatsApp Weba s lažnim kontaktima. “Sustav prolazi kroz svaki kontakt i šalje upute za pridruživanje newsletteru. To je u suštini crv, jer sada zaražavate svoje prijatelje i obitelj”, objasnio je Bargury.
Sljedeći cilj istraživača bio je Amazon. Koristeći sličan pristup, naveli su Atlas da posjeti lažnu stranicu za prijavu na newsletter sa skrivenim zlonamjernim uputama. U ovom slučaju, uspjeli su natjerati preglednik da doda novu adresu za dostavu na prijavljeni korisnički račun na Amazonu i stavi tablet u košaricu za kupnju. Ipak, kada su pokušali natjerati sustav da dovrši kupnju, nisu uspjeli pronaći način da zaobiđu sigurnosne mjere OpenAI-ja. Na kraju su pronašli zaobilazno rješenje: natjerali su Atlas da zatraži od Amazonovog AI asistenta za kupnju, Rufusa, da on obavi kupnju umjesto njih. “Rufus nije bio otet ili hakiran, samo je primio zahtjev od onoga što je smatrao kupcem i poslušao ga je”, napisali su istraživači.
OpenAI reagira, ali opasnost ostaje
Istraživači su o svojim otkrićima obavijestili OpenAI još u siječnju. “Ranije ove godine implementirali smo ažuriranje kako bismo riješili problem i ojačali zaštitu u Atlasu, koji će biti ugašen 9. kolovoza”, rekao je glasnogovornik OpenAI-ja, dodajući da se te zaštite primjenjuju i na mogućnosti pregledavanja u novoj aplikaciji ChatGPT. Napadi ubacivanjem naredbi, dodao je, područje su koje OpenAI aktivno istražuje. Tvrtka se bori protiv zlouporabe svoje tehnologije i na drugim frontama, pa je tako nedavno omela rad mreže za prijevare sa sjedištem u Kambodži koja je koristila ChatGPT za podršku shemama ulaganja, romantičnih prijevara i lažnog predstavljanja. Ipak, stručnjaci upozoravaju da ranjivosti, poput onih koje je pokazala i tvrtka SPLX demonstrirajući kako se preglednik može prevariti manipuliranim web sadržajem, ostaju ozbiljna prijetnja, piše Wired.
Umjetna inteligencija kao mač s dvije oštrice
Ovi incidenti naglašavaju širi trend u kojem umjetna inteligencija postaje moćno oružje i za napadače i za branitelje u kibernetičkom prostoru. Kriminalci koriste AI za stvaranje vrlo uvjerljivih phishing poruka i socijalni inženjering, kao i za “deepfake” video i audio zapise kojima se lažno predstavljaju. U poznatom slučaju iz 2024. godine, tvrtka Arup izgubila je otprilike 25 milijuna dolara zbog deepfake video poziva. S druge strane, AI se koristi u obrani za detekciju prijetnji u stvarnom vremenu i automatizaciju sigurnosnih zadataka. Svijet kibernetičke sigurnosti svjedoči svojevrsnoj “utrci u naoružanju”, a globalni troškovi kibernetičkog kriminala projiciraju se na vrtoglavih 13,82 bilijuna dolara do 2028. godine.
Iako su ovakvi napadi složeni, a hakeri često imaju lakše načine za postizanje svojih ciljeva, istraživači iz Zenityja naglašavaju da bi se pri dizajniranju AI sustava trebale koristiti “determinističke” ili čvrste sigurnosne barijere, a ne oslanjati se isključivo na prosudbe umjetne inteligencije, jer se one gotovo uvijek mogu prevariti. “Dovodite se u situaciju u kojoj vaš preglednik može biti potpuno otet, računi kompromitirani, a podaci iscuriti. Moramo biti vrlo pažljivi pri planiranju razine pristupa koju agenti dobivaju unutar preglednika i razine autonomije koju imaju pri njihovom korištenju”, zaključio je Bargury.
