Исследователи обнаружили первую в своем роде уязвимость цепочки поставок в официальном репозитории навыков OpenAI.
OpenAI поддерживает официальный репозиторий навыков на GitHub, которые обучают ИИ-агентов работе с различными платформами и сервисами. Как официальные навыки, эти компоненты часто пользуются неявным доверием, поскольку они предоставляются или проверяются проверенными поставщиками.
Проблемы возникли из-за того, что один из навыков OpenAI, предназначенный для обучения агентов наилучшему способу развертывания приложений на Render, инструктировал производственные приложения отправлять свои токены на незарегистрированный домен (render-internal.com).
Обнаружив этот недостаток, исследователи из исследовательской лаборатории AIR Security зарегистрировали домен и направили его на пассивный (только прослушивающий) перехватчик, который начал получать токены и вызовы API от реальных производственных приложений.
Тестирование навыка с помощью Codex подтвердило, что домен был включен в реальный код приложения в качестве опции по умолчанию.
AIR Security уведомила OpenAI и Render о проблеме, которая была решена в середине августа, что позволило исследователям опубликовать техническое описание уязвимости. Проблема была внесена с коммитом в январе.
Render удалил все упоминания render-internal.com из навыка, в то время как OpenAI удалила плагин Render из openai/plugins. Домен также был передан под безопасное управление Render.
Курируемый навык содержал несуществующий домен, который при развертывании приложений рассматривался как доверенный внутренний сервис, ставя секреты приложений в досягаемость любого, кто зарегистрировал этот домен.
Риск цепочки поставок
Если бы исследователи не наткнулись на уязвимость навыка Render первыми, злоумышленники могли бы злоупотребить доменом, который никто не удосужился купить, для проведения атаки на цепочку поставок.
Нив Хоффман, соучредитель и технический директор AIR Security, заявил, что инцидент показывает, что даже официальные, опубликованные поставщиками ИИ-навыки могут содержать ошибки, небезопасные предположения, зависимости или уязвимости, которые могут привести к утечке секретных токенов.
«Навыки должны проверяться и контролироваться, как и любая другая часть цепочки поставок программного обеспечения, чтобы их можно было исправить или отозвать при обнаружении уязвимости», — сказал Хоффман.
Злоумышленники все чаще исследуют новые способы манипулирования файлами инструкций ИИ, такими как навыки, в злонамеренных целях, а также ищут учетные данные ИИ для кражи или злоупотребления ими для операционализации собственного использования ИИ.
Недавний троянизированный ИИ-навык, который использовал опечатку в названиях популярных ИИ-сервисов Paperclip и Browser Use в экосистеме навыков агентов skills.sh, получил 1,7 миллиона установок в рамках схемы по инструктажу агентов установить похититель учетных данных с GitHub.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – John Leyden
