Slack AI e il rischio di attacchi informatici
Slack AI è uno strumento progettato per riassumere conversazioni lunghe e aiutare gli utenti a trovare informazioni all'interno delle chat di riunione. Tuttavia, si è rivelato altrettanto utile per gli attaccanti grazie a una vulnerabilità nota come iniezione di prompt indiretta.
La vulnerabilità di Slack AI
Come molti strumenti di intelligenza artificiale generativa, Slack AI presenta un problema significativo: non riesce a distinguere tra richieste legittime e quelle provenienti da attori malevoli. Nonostante gli sviluppatori abbiano programmato il tool per operare in modo sicuro e responsabile, gli attaccanti possono sfruttare questa lacuna attraverso astute richieste di testo.
Come gli attaccanti possono sfruttare Slack AI
Secondo PromptArmor, gli attori malevoli possono agire senza la necessità di accedere a canali privati, a differenza dei problemi precedenti in cui i membri interni potevano facilmente divulgare dati. Gli utenti possono normalmente cercare informazioni sia in canali pubblici che privati, ma i dati accessibili includono anche canali nascosti di cui l'utente non è membro. Sebbene questi siano canali pubblici, consentono un accesso indiretto a informazioni che dovrebbero essere inaccessibili secondo l'interfaccia utente.
Il rischio di furto di API key
PromptArmor dimostra che questo comportamento offre la possibilità di rubare chiavi API inserite in canali privati dai programmatori. Un utente può inserire una chiave API in una conversazione privata e poi creare un canale pubblico contenente istruzioni malevole. Questo canale pubblico può essere accessibile solo dall'attaccante. Quando Slack AI viene attivato, un'istruzione dannosa può essere inviata a utenti ignari, i quali vengono invitati a ri-autenticarsi. Questo processo consente all'attaccante di rubare i dati tramite un parametro HTTP.
L'ampliamento della superficie di attacco
Secondo PromptArmor, questa vulnerabilità amplia notevolmente la superficie di attacco. Gli attaccanti non devono nemmeno essere presenti in Slack: se un utente carica un PDF contenente istruzioni malevole, è già possibile un'iniezione di prompt indiretta. Fortunatamente, gli amministratori possono limitare tali istruzioni restringendo i privilegi degli utenti.
La consapevolezza del rischio
Il team di sicurezza di Slack sembra non essere ancora pienamente consapevole del rischio. Secondo Slack, l'intenzione è che i dati siano ricercabili in tutti i canali pubblici. Tuttavia, questo copre solo una piccola parte della metodologia esposta da PromptArmor. Inoltre, dal 14 agosto, Slack AI ha reso la maggior parte dei tipi di file ricercabili, aumentando così il potenziale di problemi.
