I plug-in ChatGPT pongono rischi per la sicurezza

Negli ultimi otto mesi, ChatGPT ha impressionato milioni di persone con la sua capacità di generare testi dall’aspetto realistico, scrivendo di tutto, dalle storie al codice. Ma il chatbot, sviluppato da OpenAI, è ancora relativamente limitato in quello che può fare.

Il Large Language Model (LLM) riceve “richiesta” dagli utenti che utilizza per generare testo apparentemente correlato. Queste risposte vengono create in parte da dati estratti da Internet nel settembre 2021 e non estraggono nuovi dati dal Web. Inserisci i plugin, che aggiungono funzionalità ma sono disponibili solo per le persone che pagano per l’accesso a GPT-4, la versione aggiornata del modello di OpenAI.

Da quando OpenAI ha lanciato i plugin per ChatGPT a marzo, gli sviluppatori si sono dati da fare per creare e pubblicare plugin che consentano al chatbot di fare molto di più. I plug-in esistenti ti consentono di cercare voli e pianificare viaggi e fare in modo che ChatGPT possa accedere e analizzare il testo su siti Web, documenti e video. Altri plugin sono più di nicchia e ti promettono la possibilità di chattare con il manuale del proprietario di Tesla o cercare tra i discorsi politici britannici. Attualmente ci sono più di 100 pagine di plug-in elencate nel negozio di plug-in di ChatGPT.

Ma in mezzo all’esplosione di queste estensioni, i ricercatori di sicurezza affermano che ci sono alcuni problemi con il modo in cui operano i plugin, che possono mettere a rischio i dati delle persone o potenzialmente essere oggetto di abusi da parte di hacker malintenzionati.

Johann Rehberger, direttore del team rosso di Electronic Arts e ricercatore di sicurezza, ha documentato i problemi con i plug-in di ChatGPT nel suo tempo libero. Il ricercatore ha documentato come i plug-in ChatGPT potrebbero essere utilizzati per rubare la cronologia della chat di qualcuno, ottenere informazioni personali e consentire l’esecuzione remota del codice sulla macchina di qualcuno. Si è concentrato principalmente sui plug-in che utilizzano OAuth, uno standard Web che consente di condividere dati tra account online. Rehberger afferma di essere stato in contatto privato con circa una mezza dozzina di sviluppatori di plug-in per sollevare problemi e ha contattato OpenAI una manciata di volte.

“ChatGPT non può fidarsi del plug-in”, afferma Rehberger. “Fondamentalmente non può fidarsi di ciò che ritorna dal plugin perché potrebbe essere qualsiasi cosa.” Un sito Web o un documento dannoso potrebbe, attraverso l’uso di un plug-in, tentare di eseguire un attacco rapido di iniezione contro il modello di linguaggio di grandi dimensioni (LLM). Oppure potrebbe inserire payload dannosi, afferma Rehberger.

“Gli stai potenzialmente dando le chiavi del regno: l’accesso ai tuoi database e ad altri sistemi.”

Steve Wilson, chief product officer di Contrast Security

I dati potrebbero anche essere potenzialmente rubati attraverso la falsificazione di richieste di plug-in incrociati, afferma il ricercatore. Un sito Web potrebbe includere un’iniezione rapida che fa aprire a ChatGPT un altro plug-in ed eseguire azioni extra, che ha mostrato attraverso una prova di concetto. I ricercatori chiamano questo “concatenamento”, in cui un plug-in ne chiama un altro per funzionare. “Non ci sono limiti di sicurezza reali” all’interno dei plug-in ChatGPT, afferma Rehberger. “Non è molto ben definito, quale sicurezza e fiducia, quali le effettive responsabilità [are] di ogni stakeholder”.

Da quando sono stati lanciati a marzo, i plug-in di ChatGPT sono in beta, essenzialmente una prima versione sperimentale. Quando si utilizzano i plug-in su ChatGPT, il sistema avverte che le persone dovrebbero fidarsi di un plug-in prima di utilizzarlo e che, affinché il plug-in funzioni, ChatGPT potrebbe dover inviare la conversazione e altri dati al plug-in.

Niko Felix, portavoce di OpenAI, afferma che l’azienda sta lavorando per migliorare ChatGPT contro gli “exploit” che possono portare all’abuso del suo sistema. Attualmente esamina i plug-in prima che vengano inclusi nel suo negozio. In un post sul blog di giugno, la società ha affermato di aver visto una ricerca che mostra come “i dati non attendibili dall’output di uno strumento possono istruire il modello a eseguire azioni indesiderate”. E che incoraggia gli sviluppatori a fare in modo che le persone facciano clic sui pulsanti di conferma prima che le azioni con “impatto nel mondo reale”, come l’invio di un’e-mail, vengano eseguite da ChatGPT.