Истражувачите објавија слабости во Google Gemini AI што овозможувале инјекција на промпт и експлоатации во облакот

Истражувачи за сајбер-безбедност објавија три, сега исправени, безбедносни ранливости кои го погодија AI асистентот на Google — Gemini — и кои, доколку биле успешно злоупотребени, можеле да им предизвикаат на корисниците големи ризици по приватноста и кражба на податоци.

„Тие го направија Gemini ранлив на напади со инјекција во пребарувачот врз моделот за персонализација на пребарувањето; инјекција од лог-во-промпт напади против Gemini Cloud Assist; и екстракција на зачуваните информации и податоци за локација преку Gemini Browsing Tool,“ рече Безбедносната истражувачка од Tenable, Лив Матан, во извештај споделен со The Hacker News.

Компанијата за сајбер-безбедност ги означи ранливостите колективно како „Gemini Trifecta“. Тие се наоѓаат во три различни компоненти на Gemini пакетот:

• Промпт-инјекциска грешка во Gemini Cloud Assist која би можела да им овозможи на напаѓачите да злоупотребат услуги базирани на облак и да компромитираат облачни ресурси, искористувајќи го фактот што алатката може да сумира ликови извлечени директно од сурови логови. Ова им дава можност на напаѓачите да сокријат промпт во User-Agent хедер како дел од HTTP барање до Cloud Function и други сервиси како Cloud Run, App Engine, Compute Engine, Cloud Endpoints, Cloud Asset API, Cloud Monitoring API и Recommender API.
• Инјекциска грешка при пребарување во моделот за персонализација на пребарувањето на Gemini која би можела да им овозможи на напаѓачите да вбризгаат промпти и да го контролираат однесувањето на AI чатботот, за да извлечат зачувани информации и податоци за локацијата на корисникот, со манипулирање на нивната Chrome историја на пребарување преку JavaScript и искористување на неспособноста на моделот да ги разликува легитимните кориснички упити од инјектирани промпти од надворешни извори.
• Индиректна промпт-инјекциска грешка во Gemini Browsing Tool која би можела да овозможи на напаѓачите да извлечат (екстрахираат) зачувани информации и податоци за локацијата на корисникот на надворешен сервер, користејќи ја внатрешната повика која Gemini ја прави за да го сумира содржината на веб-страница.

Tenable изјави дека ранливостите можеле да бидат злоупотребени за вградување на приватните податоци на корисникот во барање до злонамерен сервер под контрола на напаѓачот, без потреба Gemini да ги прикажува линковите или сликите.

„Еден влијателен сценарио на напад би бил напаѓач кој вбризгува промпт што му кажува на Gemini да пребара сите јавни ресурси, или да пребара за IAM неправилни конфигурации, а потоа создава хиперлинк што содржи овие чувствителни податоци,“ рече Матан во врска со Cloud Assist грешката. „Ова би требало да е можно бидејќи Gemini има дозвола да прашува ресурси преку Cloud Asset API.“

Во случајот со вториот напад, напаѓачот прво би морал да го убеди корисникот да посети веб-страница што тој ја поставил за да вбризга злонамерни барања за пребарување кои содржат промпт-инструкции во историјата на прелистување на жртвата и да ја „загади“ (poison). Така, кога жртвата подоцна ќе комуницира со моделот за персонализација на пребарувањето на Gemini, упатствата од напаѓачот ќе бидат обработени за да се украдат чувствителни податоци.

По одговорното откривање, Google повеќе не ги прикажува хиперлинковите во одговорите за сите сумирања на лога и воведе дополнителни мерки за зацврстување за заштита од промпт-инјекции.

„Gemini Trifecta покажува дека самиот AI може да се претвори во средство за напад, а не само да биде цел. Како организациите го прифаќаат AI, не смее да се занемари безбедноста,“ рече Матан. „Заштитата на AI алатките бара видливост каде тие постојат низ средината и строга примена на политики за да се одржи контрола.“

Развојот доаѓа додека платформата за агентска безбедност CodeIntegrity детално опиша нов напад што го злоупотребува Notion-овиот AI агент за екстракција на податоци, со тоа што ги крие инструкциите-промпт во PDF фајл користејќи бел текст на бела позадина кој му наредува на моделот да собере доверливи податоци и потоа да ги испрати на напаѓачите.

„Агент со широк пристап до работниот простор може да поврзува задачи низ документи, бази на податоци и надворешни конектори на начини кои RBAC никогаш не ги предвиде,“ рече компанијата. „Ова создава многу проширена површина на закани каде чувствителни податоци или акции можат да се екстрахираат или злоупотребат преку повеќестепени, автоматизирани работни текови.“

Извори:

• The Hacker News – „Researchers Disclose Google Gemini AI Flaws Allowing Prompt Injection and Cloud Exploits“ .The Hacker News