Últimamente casi no pasa un día sin noticias sobre agentes de IA que hackean sitios web de forma autónoma o sobre herramientas utilizadas por ciberdelincuentes y estafadores. Sin embargo, una vulnerabilidad recientemente corregida en la versión de ChatGPT para macOS demuestra que, a medida que estas aplicaciones se vuelven más comunes, el propio software de IA también puede convertirse en un objetivo atractivo para los atacantes.
El fallo podría haberse aprovechado para tomar el control de ChatGPT en la computadora de una víctima, lo que habría proporcionado al atacante acceso a todos los historiales de chat y otros datos almacenados por la aplicación, así como a elementos relacionados, como las sesiones del navegador. Descubierta por investigadores de la Fundación Objective-See, la vulnerabilidad muestra el amplio acceso al sistema que necesitan estas plataformas para funcionar y cómo esa confianza puede convertirlas en un objetivo atractivo.
“Los agentes necesitan un amplio acceso para hacer su trabajo. Son como el ama de llaves de un hotel que tiene acceso a todas las habitaciones. Así que, si pueden ser corrompidos o manipulados, eso es muy problemático”, afirma Patrick Wardle, analista de software de la Fundación Objective-See e investigador veterano de macOS.
OpenAI reconoció públicamente el fallo de seguridad y su corrección en su registro de cambios del sistema el 25 de septiembre. “Seguimos mejorando nuestras prácticas de seguridad, pero reconocemos la necesidad de actuar con mayor rapidez”, declaró a WIRED el portavoz de OpenAI, Shane Bauer, en un comunicado.
ChatGPT en macOS
La aplicación de ChatGPT para macOS incluye múltiples componentes que se comunican entre sí de forma segura mediante la verificación de firmas digitales. La idea es confirmar, mediante estas comprobaciones de validez, que ambos procesos son componentes de OpenAI y no software externo, potencialmente malicioso, que esté realizando una solicitud. Y el diseño del sistema llega incluso a exigir estas comprobaciones de firma en tres niveles de separación respecto a la solicitud, para garantizar que ningún malware esté ordenando a un componente de OpenAI que actúe como proxy y realice una solicitud aparentemente fiable.
Sin embargo, los investigadores de la Fundación Objective-See descubrieron que uno de los componentes considerados de confianza, un intérprete de scripts, podía aceptar una serie de comandos, y ser manipulado para enviarlo al proceso principal de ChatGPT.
“También comprueban el proceso padre y el proceso abuelo, pero el script malicioso simplemente ejecuta tres veces el intérprete de scripts y después realiza la solicitud de forma que cumple los requisitos”, explica Wardle.
Aprovechar la vulnerabilidad era “increíblemente sencillo”
Además de acceder a los registros de chat de ChatGPT, la vulnerabilidad también podría utilizarse para hacer que ChatGPT ejecute comandos para el hacker, como acceder a un navegador u otras aplicaciones sensibles, de modo que las solicitudes parezcan instrucciones legítimas emitidas por el software de OpenAI.
Wardle presentará un análisis de varios errores en aplicaciones de IA para macOS en “Objective by the Sea”, una conferencia sobre seguridad centrada en Apple que se celebrará en noviembre.
Recientemente descubrió un fallo, ya corregido, en la función de dictado del nuevo agente Muse de Meta que podría haber sido aprovechado por un hacker local para obtener un token de autenticación mal gestionado y acceder a los datos de los usuarios. Además, afirma que ya ha enviado a OpenAI un nuevo hallazgo de vulnerabilidad relacionado con la integración entre ChatGPT y el nuevo agente de IA de la empresa, Dots, que está siempre activo. OpenAI está revisando actualmente su informe.
