Критические баги в ChatGPT-плагинах раскрывали конфиденциальные данные

Критические баги в ChatGPT-плагинах раскрывали конфиденциальные данные

Критические баги в ChatGPT-плагинах раскрывали конфиденциальные данные

В расширениях для ChatGPT нашли три уязвимости, открывающие несанкционированный доступ к аккаунтам пользователей и сервисам, включая репозитории на платформах вроде GitHub.

Разработчики размещают плагины для ChatGPT и кастомные версии бота для расширения функциональных возможностей ИИ-модели. Это подразумевает обмен информацией с внешними сервисами: ChatGPT получает возможность выполнять действия на сторонних сайтах (например, GitHub и Google Диск).

Исследователи из Salt Labs нашли сразу три критические уязвимости, одна из которых возникает в момент инсталляции новых плагинов — когда ChatGPT перенаправляет пользователей на сторонний ресурс для подтверждения кода.

В результате атакующие могут обманом заставить юзера одобрить вредоносный код, после чего несанкционированный плагин установится автоматически. Успешная эксплуатация этой бреши способна открыть злоумышленникам доступ к аккаунтам жертвы.

Ещё одну уязвимость нашли во фреймворке PluginLab, который используется при разработке плагинов. С его помощью киберпреступники могут выдать себя за целевого пользователя и тоже перехватить контроль над учётной записью.

Ещё одна проблема касается манипуляции редиректом OAuth, что позволяет атакующим внедрить вредоносные URL и украсть учётные записи пользователей.

К счастью, признаков эксплуатации уязвимостей в реальных атаках эксперты не нашли. Специалисты Salt Labs также отметили, что в настоящее время все лазейки закрыты.

Подпишитесь на новости

В 5G-смартфоны хотят поселить Кузнечика, но модемы пока не готовы

Надписи «поддерживает 5G» для российского рынка в перспективе может оказаться мало. Минцифры подготовило проект требований, по которым смартфоны в отечественных сетях пятого поколения должны поддерживать российский алгоритм шифрования «Кузнечик».

Срок — 1 марта 2032 года: производителям предлагают заранее подготовиться. О проекте сообщает РБК.

Пока это инициатива, не утверждённое правило. Длинный переходный период нужен для появления совместимых устройств.

Главная загвоздка находится внутри смартфона. Как объясняют опрошенные эксперты, шифрованием радиоканала занимается модем, а используемые чипы Qualcomm и Unisoc российский алгоритм не поддерживают.

Просто поменять сим-карту не получится: для массового внедрения нужна аппаратная поддержка.

По оценке главы «Сигналтека» Алексея Алясева, поддержка в телефонах может появиться не раньше 2030 года. Доработка базовых станций для шифрования радиоканала тоже потребует времени и денег.

При этом объявлять нынешним смартфонам цифровую пенсию рано. В Минцифры заявили, что зарубежные устройства без российского шифра смогут работать в 5G как обычно.

Базовая станция должна включать отечественное шифрование, только если его поддерживает телефон. Порядок применения требований после 2032 года, включая уже купленные аппараты, ещё уточнят.

Напомним, 5G на частоте 4,9 ГГц в России пока ограничивается пилотными зонами.

RSS: Новости на портале Anti-Malware.ru