Eine Schwachstelle in der Codeausführungsumgebung von ChatGPT zeigt, wie ein einziger bösartiger Prompt sensible Nutzerdaten unbemerkt abziehen könnte – ganz ohne Warnung oder erforderliche Zustimmung des Nutzers.
„Sensible Daten, die in ChatGPT-Konversationen geteilt werden, könnten unbemerkt und ohne Wissen oder Zustimmung des Nutzers exfiltriert werden“, sagten die Check-Point-Forscher.
Die Schwachstelle zur DNS-Datenexfiltration in ChatGPT
Das Problem offenbart eine kritische Lücke bei der Absicherung sensibler Daten in Ausführungsumgebungen von KI-Plattformen.
Die Python-basierte Laufzeitumgebung von ChatGPT verfügt über Schutzmechanismen, die den direkten ausgehenden Internetzugriff beschränken und eine ausdrückliche Zustimmung des Nutzers verlangen, bevor Daten über externe Integrationen geteilt werden.
Die Forscher identifizierten jedoch einen Workaround, der diese Kontrollen umgeht und es Daten ermöglicht, die Umgebung über einen unbeabsichtigten Kommunikationskanal zu verlassen.
Den Check-Point-Forschern zufolge könnte die Schwachstelle die unbemerkte Offenlegung von Nutzereingaben, hochgeladenen Dateien und sogar von der KI erzeugten Ausgaben ermöglichen.
So funktioniert der Angriff
Der Angriff selbst lässt sich relativ einfach starten und erfordert lediglich einen einzigen bösartigen Prompt, der in eine Konversation eingebettet oder über ein benutzerdefiniertes GPT bereitgestellt wird.
Sobald er ausgelöst wurde, wird jede weitere Interaktion zu einer potenziellen Quelle für Datenlecks – ohne dass der Nutzer etwas davon bemerkt oder sichtbare Hinweise erhält.
DNS-Tunneling ermöglicht verdeckte Datenexfiltration
Da der Exploit innerhalb der Laufzeitumgebung ausgeführt wird, umgeht er die Schutzmechanismen, die ausgehende Datenübertragungen normalerweise blockieren oder eine Genehmigung dafür verlangen würden.
Im Zentrum des Problems steht ein Seitenkanal, der die DNS-Auflösung nutzt.
Während herkömmliche ausgehende Verbindungen eingeschränkt sind, bleiben DNS-Anfragen als Teil des normalen Systembetriebs funktionsfähig.
Angreifer können dies ausnutzen, indem sie sensible Daten in DNS-Abfragen codieren, die dann während der routinemäßigen Namensauflösung nach außen übertragen werden.
Diese als DNS-Tunneling bezeichnete Methode ermöglicht es, dass Daten Isolationsgrenzen indirekt und verdeckt überwinden.
In diesem Fall ermöglichte sie nicht nur die unbemerkte Datenexfiltration, sondern auch eine bidirektionale Kommunikation.
Die Forscher zeigten, dass Angreifer Befehle zurück in die Laufzeitumgebung senden und Antworten empfangen konnten und damit effektiv eine Remote-Shell innerhalb der containerisierten Umgebung einrichteten.
Risiken bei der Einführung von KI managen
Da Unternehmen KI-Tools schnell einführen, fließen zunehmend sensible Daten durch Umgebungen, die ursprünglich nicht für eine sichere Verarbeitung konzipiert wurden.
Dies schafft neue Risiken in Bezug auf Datenoffenlegung, Missbrauch und unbeabsichtigte Datenlecks – insbesondere, da Angreifer auf KI-Workflows abzielen.
Ohne klare Kontrollen und Transparenz kann selbst die routinemäßige Nutzung verborgene Schwachstellen schaffen.
- Begrenzen Sie die Offenlegung sensibler Daten, indem Sie die Datenklassifizierung durchsetzen, Eingaben minimieren und Lösungen zur Vermeidung von Datenverlust einsetzen.
- Etablieren und setzen Sie klare Richtlinien für die KI-Nutzung durch, einschließlich Vorgaben für den Umgang mit vertraulichen Daten und genehmigten Anwendungsfällen.
- Überwachen Sie KI-Interaktionen und Systemaktivitäten mithilfe von Protokollierung, Verhaltensanalysen und Anomalieerkennung, um potenziellen Missbrauch zu identifizieren.
- Beschränken und überprüfen Sie benutzerdefinierte GPTs, Prompts und Integrationen , um bösartige Logik oder unbefugten Datenzugriff zu verhindern.
- Stärken Sie Laufzeit- und Netzwerkkontrollen, indem Sie Isolationsgrenzen validieren und DNS oder andere ausgehende Kanäle überwachen.
- Segmentieren Sie sensible Workflows und wenden Sie den Zugriff nach dem Prinzip der geringsten Privilegien an , um das Risiko von lateraler Bewegung oder Datenoffenlegung zu verringern.
- Testen Sie Pläne zur Reaktion auf Vorfälle im Zusammenhang mit Szenarien zu KI-Datenlecks und Sicherheitsverletzungen.
Diese Maßnahmen helfen Unternehmen, ihre Widerstandsfähigkeit zu stärken und ihre Gefährdung zu verringern.
KI vergrößert die Angriffsfläche
Dieser Vorfall zeigt, wie sich KI-Plattformen zu komplexeren Ausführungsumgebungen entwickeln und die Angriffsfläche auf eine nicht immer offensichtliche Weise vergrößern.
Er zeigt außerdem, wie übersehene Komponenten wie DNS Risiken schaffen können, wenn sie in Sicherheitsmodellen nicht berücksichtigt werden.
Da Unternehmen bei kritischen Workflows zunehmend auf KI setzen, werden eine bessere Transparenz, eine stärkere Isolation und die Validierung von Datenflüssen entscheidend sein, um die Gefährdung zu verringern.
Unternehmen setzen auf Zero-Trust-Lösungen , um diese Herausforderung zu bewältigen, indem sie Zugriffe kontinuierlich überprüfen, implizitem Vertrauen entgegenwirken und eine strengere Kontrolle über Datenbewegungen in KI-gestützten Umgebungen durchsetzen.