Skjult instruktion kan få ChatGPT til at lække din Gmail

En ChatGPT-sikkerhedshul lod en angriber i hemmelighed få en anden brugers konto til at hente og sende data fra en tilkoblet Gmail-konto. Det betyder noget, fordi skjulte instruktioner kan stjæle fortrolige oplysninger, når AI-assistenter får adgang til mails og dokumenter. Hullet er lukket, men eksperter siger nu, at AI-assistenter kun skal have adgang til præcis det, de skal bruge til hver opgave.

Forestil dig en digital assistent, der kan læse din e-mail og hjælpe dig med at svare på den. Sådan en assistent er ChatGPT – et program baseret på kunstig intelligens (AI), altså teknologi, der gør det muligt for computere at forstå og svare på sprog. Forskere fra sikkerhedsfirmaet Check Point Research har opdaget et sikkerhedshul i ChatGPT. Et sikkerhedshul er en fejl i et program, som en angriber kan udnytte. Hullet gjorde det muligt for en angriber at få en anden brugers ChatGPT-konto til at hente oplysninger fra en forbundet Gmail-konto og sende dem videre. Gmail er Googles e-mailtjeneste. Sårbarheden er lukket, men undersøgelsen viser en ny type risiko, når AI-assistenter får adgang til mails, dokumenter og andre tjenester.

Angrebet foregik ved, at en skjult instruktion blev smuglet ind i offerets ChatGPT. Det kunne ske gennem en delt samtale – altså en chat, som flere brugere kan se og fortsætte. Det er lidt som at gemme en besked i en fælles notesbog. Den, der læser notesbogen, følger beskeden uden at tænke over, hvem der skrev den. Når offeret derefter stillede et helt almindeligt spørgsmål, udførte ChatGPT i baggrunden også angriberens skjulte opgave og hentede data fra Gmail. Brugeren opdagede kun et lille »Talked to Gmail«-mærke. Det er en lille tekst, der viser, at ChatGPT har været i kontakt med Gmail.

»Eksemplet viser med al tydelighed, hvilke risici der opstår, når AI-assistenter får adgang til stadig flere dele af vores digitale liv. I forsøget var det mails, men det kunne lige så godt være fortrolige dokumenter, kildekode eller kritiske virksomhedsdata«, siger Balder Borup, teamleder for sikkerhedsingeniører hos Check Point Software Technologies i Danmark. Kildekode er den tekst, som programmører skriver for at bygge et program. Ifølge Borup bør en AI-assistent fremover behandles som enhver anden bruger i systemet. Den skal kun have adgang til præcis det, den skal bruge for at løse en given opgave. Det svarer til at give en hjælper kun den nøgle, der passer til den dør, vedkommende skal ind ad – ikke nøglen til hele huset.