Πρόσβαση σε λειτουργικά συστήματα sandbox με το ChatGPT

Η πλατφόρμα ChatGPT του OpenAI παρέχει μεγάλο βαθμό πρόσβασης στο sandbox του LLM, επιτρέποντάς σας να ανεβάσετε προγράμματα και αρχεία, να εκτελέσετε εντολές και να περιηγηθείτε στη δομή αρχείων του sandbox.

Το περιβάλλον δοκιμών ChatGPT είναι ένα απομονωμένο περιβάλλον που επιτρέπει στους χρήστες να αλληλεπιδρούν με αυτό με ασφάλεια ενώ είναι αποκλεισμένο από άλλους χρήστες και τους κεντρικούς διακομιστές.

Αυτό το κάνει περιορίζοντας την πρόσβαση σε ευαίσθητα αρχεία και φακέλους, αποκλείοντας την πρόσβαση στο Διαδίκτυο και επιχειρώντας να περιορίσει τις εντολές που μπορούν να χρησιμοποιηθούν για την εκμετάλλευση ελαττωμάτων ή για πιθανή έξοδο από το sandbox.

Ο Marco Figueroa του δικτύου έρευνας 0 ημερών της Mozilla, 0DIN, ανακάλυψε ότι είναι δυνατό να αποκτήσετε εκτεταμένη πρόσβαση στο sandbox, συμπεριλαμβανομένης της δυνατότητας αποστολής και εκτέλεσης σεναρίων Python και λήψης του βιβλίου αναπαραγωγής του LLM.

Σε μια αναφορά που μοιράστηκε αποκλειστικά με το BleepingComputer πριν από τη δημοσίευση, ο Figueroa επιδεικνύει πέντε ελαττώματα, τα οποία ανέφερε υπεύθυνα στο OpenAI. Η εταιρεία AI έδειξε ενδιαφέρον μόνο για ένα από αυτά και δεν υπέβαλε σχέδια για περαιτέρω περιορισμό της πρόσβασης.

Εξερεύνηση του sandbox ChatGPT

Ενώ εργαζόταν σε ένα έργο Python στο ChatGPT, ο Figueroa έλαβε ένα σφάλμα “ο κατάλογος δεν βρέθηκε”, το οποίο τον οδήγησε να ανακαλύψει πόσο ένας χρήστης ChatGPT μπορεί να αλληλεπιδράσει με το sandbox.

Σύντομα, έγινε σαφές ότι το περιβάλλον επέτρεπε μεγάλη πρόσβαση στο sandbox, επιτρέποντάς σας να ανεβάσετε και να κατεβάσετε αρχεία, να καταχωρίσετε αρχεία και φακέλους, να ανεβάσετε προγράμματα και να τα εκτελέσετε, να εκτελέσετε εντολές Linux και να εξάγετε αρχεία που είναι αποθηκευμένα στο sandbox.

Χρησιμοποιώντας εντολές, όπως ‘ls’ ή ‘list files’, ο ερευνητής μπόρεσε να λάβει μια λίστα με όλους τους καταλόγους του υποκείμενου συστήματος αρχείων sandbox, συμπεριλαμβανομένου του ‘/home/sandbox/.openai_internal/, που περιείχε διαμόρφωση και ρύθμιση πληροφορίες.

Στη συνέχεια, πειραματίστηκε με εργασίες διαχείρισης αρχείων, ανακαλύπτοντας ότι ήταν σε θέση να ανεβάσει αρχεία στο /mnt/data φάκελο καθώς και λήψη αρχείων από οποιονδήποτε φάκελο ήταν προσβάσιμος.

Θα πρέπει να σημειωθεί ότι στα πειράματα του BleepingComputer, το sandbox δεν παρέχει πρόσβαση σε συγκεκριμένους ευαίσθητους φακέλους και αρχεία, όπως το /ρίζα φάκελο και διάφορα αρχεία, όπως /etc/shadow.

Μεγάλο μέρος αυτής της πρόσβασης στο sandbox ChatGPT έχει ήδη είχαν αποκαλυφθεί στο παρελθόνμε άλλους ερευνητές να βρίσκουν παρόμοιους τρόπους για να το εξερευνήσουν.

Ωστόσο, ο ερευνητής διαπίστωσε ότι μπορούσε επίσης να ανεβάσει προσαρμοσμένα σενάρια Python και να τα εκτελέσει μέσα στο sandbox. Για παράδειγμα, ο Figueroa ανέβασε ένα απλό σενάριο που βγάζει το κείμενο “Hello, World!” και το εκτέλεσε, με την έξοδο να εμφανίζεται στην οθόνη.

Το BleepingComputer δοκίμασε επίσης αυτήν την ικανότητα ανεβάζοντας ένα σενάριο Python που αναζητούσε αναδρομικά όλα τα αρχεία κειμένου στο sandbox.

Για νομικούς λόγους, ο ερευνητής λέει ότι δεν μπόρεσε να ανεβάσει “κακόβουλα” σενάρια που θα μπορούσαν να χρησιμοποιηθούν για να προσπαθήσουν να ξεφύγουν από το sandbox ή να εκτελέσουν πιο κακόβουλη συμπεριφορά.​

Πρέπει να σημειωθεί ότι ενώ όλα τα παραπάνω ήταν δυνατά, όλες οι ενέργειες περιορίζονταν εντός των ορίων του sandbox, επομένως το περιβάλλον φαίνεται σωστά απομονωμένο, μη επιτρέποντας «διαφυγή» στο σύστημα υποδοχής.

Ο Figueroa ανακάλυψε επίσης ότι θα μπορούσε να χρησιμοποιήσει την άμεση μηχανική για να κατεβάσει το ChatGPT “playbook“, το οποίο διέπει τον τρόπο συμπεριφοράς και ανταπόκρισης του chatbot στο γενικό μοντέλο ή στις μικροεφαρμογές που δημιουργήθηκαν από τον χρήστη.

Ο ερευνητής λέει ότι η πρόσβαση στο playbook προσφέρει διαφάνεια και χτίζει εμπιστοσύνη με τους χρήστες του, καθώς δείχνει πώς δημιουργούνται οι απαντήσεις, θα μπορούσε επίσης να χρησιμοποιηθεί για την αποκάλυψη πληροφοριών που θα μπορούσαν να παρακάμψουν τα προστατευτικά κιγκλιδώματα.

«Ενώ η διαφάνεια των οδηγιών είναι ωφέλιμη, θα μπορούσε επίσης να αποκαλύψει πώς είναι δομημένες οι απαντήσεις ενός μοντέλου, επιτρέποντας στους χρήστες να αναστρέψει τα προστατευτικά κιγκλιδώματα ή να εισάγουν κακόβουλα μηνύματα», εξηγεί ο Figueroa.

“Τα μοντέλα που έχουν διαμορφωθεί με εμπιστευτικές οδηγίες ή ευαίσθητα δεδομένα θα μπορούσαν να αντιμετωπίσουν κινδύνους εάν οι χρήστες εκμεταλλευτούν την πρόσβαση για να συγκεντρώσουν ιδιόκτητες διαμορφώσεις ή πληροφορίες”, συνέχισε ο ερευνητής.

Ευπάθεια ή επιλογή σχεδιασμού;

Ενώ ο Figueroa αποδεικνύει ότι η αλληλεπίδραση με το εσωτερικό περιβάλλον του ChatGPT είναι δυνατή, δεν προκύπτουν άμεσες ανησυχίες για την ασφάλεια ή το απόρρητο των δεδομένων από αυτές τις αλληλεπιδράσεις.

Το sandbox του OpenAI φαίνεται επαρκώς ασφαλισμένο και όλες οι ενέργειες περιορίζονται στο περιβάλλον sandbox.

Τούτου λεχθέντος, η δυνατότητα αλληλεπίδρασης με το sandbox θα μπορούσε να είναι το αποτέλεσμα μιας σχεδιαστικής επιλογής από το OpenAI.

Αυτό, ωστόσο, είναι απίθανο να γίνει σκόπιμα, καθώς η επιτρέποντας αυτές τις αλληλεπιδράσεις θα μπορούσε να δημιουργήσει λειτουργικά προβλήματα στους χρήστες, καθώς η μετακίνηση αρχείων θα μπορούσε να καταστρέψει το sandbox.

Επιπλέον, η πρόσβαση στις λεπτομέρειες διαμόρφωσης θα μπορούσε να επιτρέψει στους κακόβουλους παράγοντες να κατανοήσουν καλύτερα πώς λειτουργεί το εργαλείο AI και πώς να παρακάμψουν τις άμυνες για να το κάνουν να δημιουργήσει επικίνδυνο περιεχόμενο.

Το “playbook” περιλαμβάνει τις βασικές οδηγίες του μοντέλου και τυχόν προσαρμοσμένους κανόνες που είναι ενσωματωμένοι σε αυτό, συμπεριλαμβανομένων ιδιόκτητων λεπτομερειών και κατευθυντήριων γραμμών που σχετίζονται με την ασφάλεια, που ενδεχομένως ανοίγουν ένα διάνυσμα για αντίστροφη μηχανική ή στοχευμένες επιθέσεις.

Η BleepingComputer επικοινώνησε με το OpenAI την Τρίτη για να σχολιάσει αυτά τα ευρήματα και ένας εκπρόσωπος μας είπε ότι εξετάζουν τα ζητήματα.