Nowe ostrzeżenie dotyczące cyberbezpieczeństwa ujawnia, w jaki sposób hakerzy na krótko wykorzystali broń Głębokie badania ChatGPT narzędzie. Atak nazwany ShadowLeak umożliwił im kradzież danych Gmaila za pomocą jednego niewidocznego monitu — bez kliknięć, bez pobierania i bez konieczności podejmowania jakichkolwiek działań przez użytkownika.

Badacze z Radware odkryli lukę typu „zero kliknięcia” w czerwcu 2025 r. OpenAI załatało ją na początku sierpnia po otrzymaniu powiadomienia, ale eksperci ostrzegają, że podobne luki mogą pojawić się ponownie, gdy sztuczna inteligencja (AI) integracje rozszerzają się na popularne platformy, takie jak Gmail, Dropbox i SharePoint.

Zarejestruj się, aby otrzymać mój DARMOWY raport CyberGuy
Otrzymuj moje najlepsze wskazówki techniczne, pilne alerty dotyczące bezpieczeństwa i ekskluzywne oferty prosto do swojej skrzynki odbiorczej. Dodatkowo otrzymasz natychmiastowy dostęp do mojego Przewodnika po przetrwaniu w oszustwie — bezpłatnie, jeśli dołączysz do mojego CYBERGUY.COM/NEWSLETTER

HACKER WYKORZYSTUJE CHATBOTA AI W SPREE CYBERPRZESTĘPNOŚCI

Jak zadziałał atak ShadowLeak

Atakujący umieszczali ukryte instrukcje w wiadomości e-mail, używając białego tekstu, małych czcionek lub sztuczek związanych z układem CSS. E-mail wyglądał zupełnie nieszkodliwie. Kiedy jednak użytkownik poprosił później agenta Deep Research firmy ChatGPT o przeanalizowanie skrzynki odbiorczej Gmaila, sztuczna inteligencja nieświadomie wykonała polecenia atakującego.

Następnie agent wykorzystał wbudowane narzędzia przeglądarki do ekstrakcji wrażliwych danych na serwer zewnętrzny, a wszystko to w środowisku chmurowym OpenAI, poza zasięgiem programów antywirusowych i zapór korporacyjnych.

W przeciwieństwie do poprzednich ataków polegających na wstrzykiwaniu danych, które odbywały się na urządzeniu użytkownika, ShadowLeak rozwijał się całkowicie w chmurze, dzięki czemu był niewidoczny dla lokalnych systemów obronnych.

GOOGLE POTWIERDZA DANE SKRADZIONE W PRZYPADKU NARUSZENIA PRZEZ ZNANĄ GRUPĘ HACKERÓW

Dlaczego to zagrożenie ma znaczenie

Agent Deep Research został zaprojektowany do przeprowadzania wieloetapowych badań i podsumowywania danych online, ale jego szeroki dostęp do aplikacji innych firm, takich jak Gmail, Google Drive i Dropbox, również otworzył drzwi do nadużyć.

Badacze Radware stwierdzili, że doszło do ataku kodowanie danych osobowych w Base64 i dołączenie go do złośliwego adresu URL pod przykrywką „środka bezpieczeństwa”. Po wysłaniu agent uważał, że działa normalnie.

Prawdziwe niebezpieczeństwo polega na tym, że dowolne złącze może zostać wykorzystane w ten sam sposób, jeśli atakującym uda się ukryć podpowiedzi w analizowanej treści.

Co mówią eksperci ds. bezpieczeństwa

„Użytkownik nigdy nie widzi monitu. Wiadomość e-mail wygląda normalnie, ale agent bez wątpienia wykonuje ukryte polecenia” – wyjaśnili naukowcy.

W oddzielnym eksperymencie firma zajmująca się bezpieczeństwem SPLX wykazała inną słabość: agentów ChatGPT można było oszukać i rozwiązali kody CAPTCHA, dziedzicząc zmanipulowaną historię rozmów. Badacz Dorian Schultz zauważył, że model naśladował nawet ruchy ludzkiego kursora, omijając testy mające na celu blokowanie botów.

Incydenty te pokazują, jak zatruwanie kontekstu i szybka manipulacja mogą po cichu złamać zabezpieczenia sztucznej inteligencji.

E-MAIL Z PODSUMOWANIEM GOOGLE AI MOŻE BYĆ ZATAKOWANY W CELU UKRYCIA ATAKÓW PHISHINGU

Jak chronić się przed atakami w stylu ShadowLeak

Mimo że OpenAI załatało lukę w ShadowLeak, mądrze jest zachować proaktywność. Cyberprzestępcy zawsze szukają nowych sposobów wykorzystania agentów i integracji AI. Dlatego podjęcie tych środków ostrożności już teraz może pomóc w zabezpieczeniu Twoich kont i danych osobowych.

1) Wyłącz nieużywane integracje

Każde połączenie jest potencjalnym punktem wejścia. Wyłącz wszelkie integracje, z których aktywnie nie korzystasz, takie jak Gmail, Dysk Google lub Dropbox. Mniej połączonych aplikacji oznacza mniej możliwości uzyskania dostępu do Twoich informacji przez ukryte monity lub złośliwe skrypty.

2) Skorzystaj z usługi usuwania danych osobowych

Ogranicz ilość Twoich danych osobowych krążących po sieci. Usługi usuwania danych mogą automatycznie usuwać Twoje prywatne dane z witryn wyszukiwania osób i baz danych brokerów danych, ograniczając to, co atakujący mogą znaleźć i wykorzystać przeciwko Tobie. Chociaż żadna usługa nie może zagwarantować całkowitego usunięcia Twoich danych z Internetu, usługa usuwania danych jest naprawdę mądrym wyborem. Nie są tanie i Twoja prywatność też nie. Usługi te wykonują całą pracę za Ciebie, aktywnie monitorując i systematycznie usuwając Twoje dane osobowe z setek stron internetowych. To daje mi spokój ducha i okazało się najskuteczniejszym sposobem usunięcia danych osobowych z Internetu. Ograniczając dostępne informacje, zmniejszasz ryzyko, że oszuści będą porównywać dane pochodzące z naruszeń z informacjami, które mogą znaleźć w ciemnej sieci, co utrudni im namierzenie Ciebie.

Sprawdź moje najlepsze usługi usuwania danych i skorzystaj z bezpłatnego skanowania, aby dowiedzieć się, czy Twoje dane osobowe nie znajdują się już w Internecie, odwiedzając stronę Cyberguy.com.

Uzyskaj bezpłatne skanowanie, aby sprawdzić, czy Twoje dane osobowe nie są już dostępne w Internecie: Cyberguy.com.

3) Unikaj analizowania nieznanych treści

Do każdego e-maila, załącznika lub dokumentu należy podchodzić ostrożnie. Nie proś narzędzi AI o analizę treści pochodzących z niezweryfikowanych lub podejrzanych źródeł. Ukryty tekst, niewidoczny kod lub sztuczki związane z układem mogą wywołać ciche działania, które ujawnią Twoje prywatne dane.

4) Uważaj na aktualizacje zabezpieczeń

Bądź czujny na aktualizacje z OpenAI, Google, Microsoft i innych platform. Poprawki zabezpieczeń zamykają nowo odkryte luki, zanim hakerzy będą mogli je wykorzystać. Włącz automatyczne aktualizacje, aby zawsze być chronionym i nie musisz o tym myśleć.

5) Używaj silnego oprogramowania antywirusowego

Silny program antywirusowy dodaje kolejną ścianę obrony. Narzędzia te wykrywają linki phishingowe, ukryte skrypty i exploity oparte na sztucznej inteligencji, zanim wyrządzą szkody. Zaplanuj regularne skanowanie i aktualizuj swoją ochronę.

Najlepszym sposobem zabezpieczenia się przed złośliwymi linkami instalującymi złośliwe oprogramowanie i potencjalnie uzyskującymi dostęp do Twoich prywatnych informacji jest zainstalowanie na wszystkich urządzeniach silnego oprogramowania antywirusowego. Ta ochrona może również ostrzegać Cię o wiadomościach phishingowych i oszustwach związanych z oprogramowaniem ransomware, zapewniając bezpieczeństwo Twoich danych osobowych i zasobów cyfrowych.

Poznaj moje typy najlepszych zwycięzców ochrony antywirusowej 2025 dla urządzeń z systemem Windows, Mac, Android i iOS na stronie Cyberguy.com.

6) Stosuj ochronę warstwową

Pomyśl o swoim bezpieczeństwie jak o cebuli; więcej warstw sprawia, że ​​trudniej jest je złamać. Dbaj o pełną aktualizację przeglądarki, systemu operacyjnego i oprogramowania zabezpieczającego punkty końcowe. Dodaj wykrywanie zagrożeń w czasie rzeczywistym i filtrowanie wiadomości e-mail, aby blokować złośliwą zawartość, zanim trafi ona do Twojej skrzynki odbiorczej.

Najważniejsze wnioski Kurta

Sztuczna inteligencja rozwija się szybciej, niż większość systemów bezpieczeństwa jest w stanie nadążyć. Nawet jeśli firmy szybko załatają luki, sprytni napastnicy znajdują nowe sposoby wykorzystania integracji i pamięci kontekstowej. Najlepszą obroną jest utrzymywanie czujności i ograniczanie dostępu agentów AI.

Czy nadal ufałbyś asystentowi AI z dostępem do Twojej osobistej poczty e-mail, gdy dowiedziałbyś się, jak łatwo można go oszukać? Daj nam znać, pisząc do nas na adres Cyberguy.com..

Zarejestruj się, aby otrzymać mój DARMOWY raport CyberGuy
Otrzymuj moje najlepsze wskazówki techniczne, pilne alerty dotyczące bezpieczeństwa i ekskluzywne oferty prosto do swojej skrzynki odbiorczej. Dodatkowo otrzymasz natychmiastowy dostęp do mojego Przewodnika po przetrwaniu w oszustwie — bezpłatnie, jeśli dołączysz do mojego CYBERGUY.COM biuletyn.

Prawa autorskie 2025 CyberGuy.com. Wszelkie prawa zastrzeżone.