新型 Zero-Click 攻击可使 ChatGPT 用户数据遭窃
HackerNews 编译，转载请注明出处： ChatGPT的数个漏洞允许攻击者利用一种新发现的提示注入技术，诱使该工具泄露来自Gmail、Outlook、Google Drive或GitHub等流行服务的敏感数据。 这项名为“ZombieAgent”的新方法由Radware的安全研究员Zvika Bado发现，他于2025年9月通过BugCrowd漏洞赏金平台向OpenAI报告了该问题。OpenAI在12月中旬修复了此漏洞。 目前，Bado在Radware于1月8日发布的新报告中分享了这一发现。 ChatGPT的“智能体化”转变：用户与攻击者的双刃剑 近期，OpenAI通过面向用户的新功能扩展了ChatGPT的能力，例如“连接器”，它允许聊天机器人轻松快速地连接到流行的外部系统（如Gmail、Outlook、Google Drive、GitHub），以及浏览网页、打开链接、分析、生成图像等功能。 Bado在Radware报告中承认，这种向智能体模式的转变使得该工具“更加有用、便捷和强大”，但同时也使其能够访问敏感的个人数据。 在Radware此前的一份报告中，Bado及其两位同事发现了ChatGPT“深度研究”智能体中的一个结构性漏洞，该漏洞允许攻击者通过一封精心构造的电子邮件，即可让智能体泄露敏感的Gmail收件箱数据。 这项被研究人员称为“ShadowLeak”的技术允许进行服务器端数据窃取，这意味着一次成功的攻击链将直接从OpenAI的云基础设施中泄露数据，使本地或企业防御系统无法察觉。 该技术使用了间接提示注入方法，通过在白底白字或微缩字体等技术，在电子邮件的HTML中嵌入隐藏命令，从而在“深度研究”智能体执行这些命令时，用户却毫无察觉。这些命令通常包含一个由攻击者控制的链接，并让ChatGPT将敏感数据作为URL参数附加（例如，通过Markdown图片或browser.open()函数）。 为防止此类攻击，OpenAI加强了防护措施，并禁止ChatGPT动态修改URL。Bado在最新报告中总结道：“ChatGPT现在只能原样打开提供的URL，并拒绝添加参数，即使被明确指示。” 然而，该研究员此后发现了一种能够完全绕过此保护的方法。 ZombieAgent：攻击流程解析 这种攻击利用了OpenAI URL修改防御中的一个弱点，通过利用预先构建的静态URL，逐个字符地从ChatGPT窃取敏感数据。 攻击者不再动态生成URL（这通常会触发OpenAI的安全过滤器），而是提供一组固定的URL，每个URL对应一个特定的字符（字母、数字或一个代表空格的标记）。然后，攻击者指示ChatGPT： 提取敏感数据（例如，来自电子邮件、文档或内部系统） 将数据规范化（转换为小写，用特殊标记如$替换空格） 通过按顺序“打开”预定义的URL，逐个字符地将数据泄露出去 通过使用带索引的URL（例如，每个字符对应a0, a1, …, a9），攻击者确保了窃取数据的正确顺序。 由于ChatGPT从不构建URL，而只是严格按照提供的链接执行操作，因此该技术绕过了OpenAI的URL重写和黑名单保护。 攻击流程如下： 攻击者发送包含预建URL和窃取指令的恶意电子邮件。 用户稍后要求ChatGPT执行与Gmail相关的任务。 ChatGPT读取收件箱，执行攻击者的指令并泄露数据。 除了与ChatGPT的正常对话外，无需用户进行任何其他操作。 利用ZombieAgent的“零点击”和“单点击”攻击 利用这种攻击技术，Bado展示了两种成功的服务器端提示注入攻击——一种无需用户点击，另一种仅需一次点击。 Bado写道：“我们还展示了一种实现持久性的方法，允许攻击者不仅进行一次性数据泄露，还能持续窃取数据：一旦攻击者侵入聊天机器人，他们就可以持续窃取用户与ChatGPT之间的每一次对话。” “此外，我们展示了一种新的传播技术，允许攻击进一步扩散，针对特定受害者，并增加触及更多目标的可能性。” 消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文