Drošības ievainojamība BragJack: pievienotājs pārņēma pēklīnes KI
Drošības pētnieki no uzņēmuma Forever Security ir atklājuši jaunu uzbrukuma metodi ar nosaukumu BragJack, ar kuru parasts pēklīnes pievienotājs varēja pārņemt iebūvētos KI palīgus piecās populārākajās pēklīnēs.
Pēc ziņojumiem, skartas bija Google Chrome ar Gemini, Microsoft Edge, Opera Neon, Perplexity Comet un Claude pievienotājs Chrome. Jebkurš lietotājs, kuram bija uzstādīts viens no šiem pēklīnēm ar vismaz vienu pievienotāju, pēc pētnieka Gala Weizmana domām, varēja būt potenciāli skarts.
Atšķirībā no iepriekšējiem uzbrukumiem, pētniekiem nevajēja slēpt komandas saturā, ko lasa KI. Tā vietā viņi izmantāja konstrukcijas trūkumu: pievienotāji varēja pārkāpt robežu starp sevi un augsti privilegēto KI aģentu un tieši nosūtīt komandas, līdz tas tās izpildīja.
Piemēram, Chrome un Gemini gadījumā pētnieki, pēc viņu ziņojuma, varēja pat veidot ekrānuzņēmumus, piekļūt vietējām datnēm un aktivizēt kameru vai mikrofonu, nepieciešams, ka lietotājs uz kaut ko noklikšķinātu.
Skartie uzņēmumi Google, Microsoft, Opera, Anthropic un Perplexity apstiprināja ievainojamības un samaksāja pētniecības komandai prēmijas no 600 līdz 7 000 ASV dolāru. Google un Microsoft piešķīra arī oficiālas drošības identifikatorus šīm ievainojamībām.
Pēc avotu datiem, visi ziņotie trūkumi ir novērsti. Cik daudz cilvēku faktiski skāra, pirms trūkumi tika novērsti, nav zināms.
KĀPĒC TAS IR SVARĪGI
Šis gadījums parāda, ka pēklīnēs iebūvētie KI palīgi varētu iegūt plašu piekļuvi personīgajiem datiem, un ka pat šķietami nekaitīgs pievienotājs var izmantot šo piekļuvi savā labā.
KO VARI IZDARĪT TAGAD
- Instalēj tikai dažus, uzticamus pievienotājus Pirms instalēšanas, pārbaudi pievienotāja vērtējumus un izdevēju. Jo mazāk pievienotāju lietojat, jo mazāka ir uzbrukuma virsma šādiem uzbrukumiem.
- Uztur savu pēklīni vienmēr aktuālu Aktivizēj automātiskos atjauninājumus pēklīnes iestatījumos. Drošības ievainojamības, kā šī, parasti tiek novērstas ar atjauninājumu, tiklīdz tās tiek atklātas.
- Izdzēs neizmantotos pievienotājus Regulāri pārskatī pēklīnes pievienotāju iestatījumus un izdzēs visu, ko vairs neizmanto. Katrs papildus pievienotājs ir iespējams iebrukuma punkts.
- Būd uzmanīgs ar KI funkcijām pēklīnē Pārdomā, kurus datus iebūvētais KI palīgs var redzēt vai mainīt, pirms to lietojat. Izslēdz funkciju, ja to regulāri neizmanto.