Une étude révèle une faille de sécurité susceptible de transformer le navigateur ChatGPT Atlas, récemment lancé par OpenAI, en vecteur d’attaque contre ses propres utilisateurs.
Selon une étude de LayerX, la faille réside dans la manière dont les navigateurs IA assimilent le contenu web.
L’article de blog de LayerX montre qu’il ne s’agit pas d’un simple bug logiciel. C’est une brèche critique permettant à des acteurs malveillants d’injecter des commandes cachées dans le système de mémoire de ChatGPT, puis de s’en servir pour compromettre des appareils et dérober des données sensibles sur plusieurs plateformes. Le moment est particulièrement mal choisi : OpenAI a lancé Atlas la semaine dernière auprès d’un public de 800 millions d’utilisateurs hebdomadaires la semaine dernière.
La méthode d’attaque
Comment cela fonctionne-t-il ? Une falsification sophistiquée de requête intersites, ou attaque CSRF, retourne la fonction de mémoire de ChatGPT contre l’utilisateur. Les attaquants attirent leurs victimes vers des pages piégées par hameçonnage, puis envoient des requêtes falsifiées qui exploitent des sessions déjà authentifiées.
Ces directives cachées sont dissimulées dans la mémoire de ChatGPT comme des passagers clandestins, puis se réveillent lors de requêtes normales en apparence anodines. L’IA peut être poussée à récupérer du code distant depuis des serveurs contrôlés par les attaquants ou à produire d’autres contenus nuisibles. Les analystes en sécurité ont découvert que la contamination suit l’utilisateur et persiste sur les appareils et les navigateurs associés au même compte, ce qui complique considérablement le nettoyage.
Ce qui rend la situation particulièrement préoccupante, c’est l’habitude d’Atlas de conserver les identifiants de ChatGPT à portée de main. Cette commodité offre aux attaques CSRF un terrain idéal. Ajoutez-y les fonctionnalités agentiques du navigateur, capables d’exécuter des tâches de manière autonome, et le risque augmente rapidement, amplifié par le pouvoir décisionnel de l’IA sur les données et les systèmes de l’utilisateur.
Atlas sous pression
Comparé aux navigateurs établis, l’écart est flagrant. Lors de tests portant sur 103 attaques d’hameçonnage réelles, Atlas n’en a bloqué que 5,8 %. Chrome et Edge ont obtenu des taux compris entre 47 et 53 %.
Une enquête plus large menée par Brave a mis au jour des techniques d’injection indirecte de prompts qui introduisent des commandes dans des pages web, voire dans des captures d’écran. Cela peut entraîner une exfiltration discrète de données ou l’exécution d’actions à l’insu total de l’utilisateur.
Le problème fondamental tient à une frontière floue. Les navigateurs IA mélangent les instructions fiables de l’utilisateur et le contenu web non fiable. Les professionnels de la sécurité avertissent que les attaquants peuvent dissimuler des instructions dans du texte blanc sur fond blanc ou dans des extraits lisibles par machine, que les utilisateurs ne verront pas mais que l’IA continuera de traiter.
Des mesures s’imposent
Le directeur de la sécurité des systèmes d’information d’OpenAI, Dane Stuckey, a reconnu que l’injection de prompts restait un problème de sécurité de pointe et non résolu, malgré les exercices de red teaming et la mise en place de systèmes de réponse rapide.
Pour une protection immédiate, les spécialistes du secteur recommandent vivement de mettre à jour le navigateur Atlas ou de le désinstaller jusqu’à la publication de correctifs officiels. Les organisations devraient révoquer les jetons d’authentification existants et utiliser une protection des terminaux pour surveiller les accès non autorisés aux magasins d’identifiants.
Les professionnels de la sécurité conseillent également de former les utilisateurs aux bonnes pratiques avec les outils d’IA et à la détection des applications clientes non fiables, car cette vulnérabilité montre comment les plateformes d’IA peuvent devenir de nouvelles voies d’exploitation informatique dans de nombreux secteurs.
Une plainte pour décès injustifié déposée contre OpenAI affirme que l’entreprise avait discrètement assoupli les garde-fous de ChatGPT concernant les conversations sur l’automutilation.
Cet article a été relu par Antony Peyton.