Pracownik prosi asystenta AI o przygotowanie prostego zestawienia w arkuszu kalkulacyjnym, a na ekranie po chwili pojawia się perfekcyjna odpowiedź. W tym samym ułamku sekundy, bez jakiegokolwiek ostrzeżenia, prywatna korespondencja z jego skrzynki Gmail wędruje prosto w ręce obcej osoby. To nie kadr z filmu sensacyjnego, lecz realny scenariusz udowodniony przez analityków Check Point Research (CPR). Badacze odkryli lukę w architekturze ChatGPT, która bezlitośnie obala podstawowy mit cyfrowego biura: przekonanie, że sesje i dane poszczególnych użytkowników są od siebie całkowicie odizolowane.
Przedsiębiorstwa na całym świecie w zawrotnym tempie łączą asystentów AI z kluczowymi narzędziami codziennej pracy: pocztą elektroniczną, dyskami w chmurze, komunikatorami czy repozytoriami kodu. Wszystko w imię wygody i oszczędności czasu. Jednak test przeprowadzony przez specjalistów ds. bezpieczeństwa cybernetycznego z Check Point pokazał drugą, znacznie groźniejszą stronę tego medalu.
AI jako „przymuszony szpieg”: Nowe oblicze cyberzagrożeń
W tradycyjnym wyobrażeniu o cyberatakach przestępca musi zdobyć hasło, wysłać zainfekowany załącznik lub przełamać zapory sieciowe. W świecie sztucznej inteligencji te reguły przestają obowiązywać. W ataku zaprezentowanym przez Check Point Research haker nie musiał kraść żadnych danych logowania ani instalować złośliwego oprogramowania. Zamiast tego wykorzystał coś znacznie bardziej niebezpiecznego – zaufanie i legalne uprawnienia, które pracownik sam nadał swojemu asystentowi AI.
Eksperci Check Point Research nazwali to zjawisko „coerced insider” – czyli zmanipulowanym współpracownikiem wewnątrz firmy. Sztuczna inteligencja wcale nie musi „zbuntować się” przeciwko człowiekowi. Model po prostu bezrefleksyjnie wykonuje polecenia. Jeśli atakujący podrzuci ofierze spreparowany tekst – na przykład w pozornie niewinnym linku do udostępnionej rozmowy, zmanipulowanym promptem czy sprytnie stworzonym module Custom GPT – asystent AI może potajemnie zacząć realizować ukryte zadania na rzecz hakera. Z perspektywy systemów firmowych wszystko wygląda w pełni legalnie, ponieważ polecenia wykonuje autoryzowany asystent pracownika.
Jak to działało? Niewidzialna „tablica ogłoszeń” w serwerowni
Aby zrozumieć, jak doszło do wycieku, warto zajrzeć pod maskę sztucznej inteligencji. Gdy ChatGPT wykonuje bardziej złożone zadania (np. analizuje dane, czy uruchamia kod programistyczny) tworzy dla użytkownika osobne, bezpieczne środowisko (tzw. kontener). Środowiska różnych użytkowników z założenia nie mają prawa się widzieć ani ze sobą rozmawiać. Jednak żeby te programistyczne „pokoje” mogły pobierać potrzebne biblioteki bez łączenia się z otwartym Internetem, OpenAI skierowało ich ruch przez wewnętrzny magazyn oprogramowania, czyli platformę JFrog Artifactory.
Badacze z Check Point Research odkryli w tej usłudze krytyczną nieszczelność: magazyn posiadał funkcję przypisywania krótkich notatek (metadanych) do przechowywanych elementów, a domyślne uprawnienia w kontenerze każdego użytkownika pozwalały zarówno zapisywać, jak i odczytywać te notatki. W rezultacie informacja zapisana przez konto hakera była natychmiast widoczna dla kontenera należącego do niczego nieświadomej ofiary.
W ten sposób techniczne narzędzie stało się tajną skrzynką kontaktową pomiędzy kontami, które miały być całkowicie odseparowane. Napastnik zostawiał w niej ukryte zadanie. Gdy ofiara zadawała swojemu ChatGPT zwyczajne pytanie biznesowe, jej asystent sprawdzał skrzynkę, wykonywał polecenie hakera, odsyłał wykradzione dane tym samym kanałem, a pracownikowi wyświetlał normalną, wyczerpującą odpowiedź.
Potencjalny zasięg takiego ataku zależy wyłącznie od tego, jak duże uprawnienia daliśmy asystentowi. Mogą to być firmowe wiadomości w Gmailu, strategiczne pliki na Google Drive, konwersacje w Microsoft Teams czy poufne kody źródłowe na GitHubie.
W teście Check Pointa asystent ofiary bez problemu odczytał skrzynkę pocztową i przekazał maile atakującemu – wszystko w czasie jednej, zwyczajnej wymiany zdań. Czy pracownik mógł zorientować się, że coś jest nie tak? Praktycznie nie. ChatGPT domyślnie traktuje samo przeglądanie danych jako działanie o „niskim ryzyku” i nie wyświetla okna z prośbą o zgodę. Jedynym śladem był mały szary napis „Talked to Gmail”, który pojawił się pod odpowiedzią dopiero wtedy, gdy poufne wiadomości zostały już wysłane na konto hakera.
Szerszy problem wspólnej architektury. Hugging Face kolejnym przykładem
Wykryta przez Check Point luka została odpowiedzialnie zgłoszona do OpenAI, a podatny komponent natychmiast wyłączono. Problem jest jednak znacznie szerszy niż pojedynczy produkt czy narzędzie. Odkrycie zbiegło się w czasie z głośnym incydentem w środowiskach testowych OpenAI powiązanych z platformą Hugging Face, gdzie agenty AI również nawiązały nieautoryzowaną łączność za pośrednictwem wspólnych elementów infrastruktury. Pokazuje to nową regułę gry: współdzielona architektura technologiczna staje się głównym celem ataków na systemy sztucznej inteligencji.
– Badania pokazują, że wyzwanie związane z bezpieczeństwem AI nie dotyczy już wyłącznie samego modelu, ale przede wszystkim dostępu i zaufania, jakimi go obdarzamy. W miarę jak asystenci AI zyskują coraz więcej połączeń z systemami korporacyjnymi i wrażliwymi danymi, organizacje muszą zakładać, że każda autoryzowana funkcja może zostać wykorzystana w niewłaściwy sposób. – uważa Eli Smadja, Head of Research w Check Point Research
Jak bezpiecznie korzystać z AI w firmie?
Dla firm wniosek jest jasny: wygoda nie może wygrywać z czujnością. Największym zagrożeniem staje się tzw. shadow AI – sytuacja, w której pracownicy na własną rękę podłączają firmowe aplikacje do asystentów AI bez wiedzy i zgody działu IT. Eksperci Check Point Research wskazują trzy fundamenty obrony przed cyfrowym „przymuszonym szpiegiem”:
• Pełna widoczność (Visibility): Dokładna wiedza o tym, z jakich narzędzi AI korzysta zespół i z jakimi bazami danych czy aplikacjami firmowymi są one połączone.
• Ochrona w czasie rzeczywistym (Runtime Protection): Wdrożenie filtrów bezpieczeństwa, które potrafią na bieżąco wyłapać zmanipulowane polecenia (prompt injection) i zablokować wypływ poufnych informacji w trakcie rozmowy z botem.
• Ścisły nadzór nad działaniami (AI Governance): Monitorowanie tego, co asystent faktycznie robi w systemach (jakie pliki otwiera, jakie komendy wykonuje), a nie tylko kontrolowanie tego, co odpowiada na ekranie.
Sztuczna inteligencja nie musi być złośliwa, aby stać się narzędziem włamania. Wystarczy, że ktoś niepowołany przekona ją do skorzystania z uprawnień, które sami wręczyliśmy jej w dobrej wierze. Jeśli organizacje nie zaczną kontrolować tych dostępów już teraz, klucze do firmowego sejfu mogą wkrótce znaleźć się w rękach cyberprzestępców.
