Эксфильтрация

Команда эксфильтровала модель и данные обычными киберсредствами.

Вся собранная информация, включая содержимое файлов, отправлялась через зашифрованные DNS-запросы на домен `*[dot]h4ck[dot]cfd` с использованием DNS-сервера `wheezy[dot]io`.

Получив доступ к Google Drive, злоумышленник может открыть сервер для эксфильтрации частных данных или артефактов ML-моделей. В примере из исходной статьи показаны загрузка, установка и использование `ngrok`, серверного приложения, чтобы открыть доступный злоумышленнику URL к Google Drive жертвы и всем его файлам.

ChatGPT автоматически отображает изображение пользователю, из-за чего отправляет запрос на сервер злоумышленника и передает туда разговор пользователя.

ИИ-артефакты, учетные данные и другая ценная информация могут быть эксфильтрованы киберсредствами. Исследователи обнаружили признаки reverse shell на уязвимых кластерах; такие оболочки могут использоваться для закрепления, продолжения выполнения произвольного кода и эксфильтрации данных.

Вредоносные инструкции в промпте заставляют сгенерированный ответ раскрывать чувствительные данные, например электронные письма, адреса и номера телефонов.

Обнаруженные учетные данные могли быть эксфильтрованы через имплант Sliver.

Bard автоматически отображает Markdown-разметку, отправляя запрос к Google Apps Script и тем самым эксфильтруя разговор пользователя. Content Security Policy Bard разрешает такой запрос, потому что URL размещен на домене, принадлежащем Google.

В соответствии с вредоносными инструкциями ответ отображается как ссылка для перехода, в URL которой закодирован API-ключ жертвы. Фрагмент ответа: Жертву вводят в заблуждение: она думает, что должна нажать на ссылку для повторной аутентификации, после чего ее API-ключ отправляется на сервер под контролем злоумышленника.

Промпт просит агента отправить результаты письмом на адрес, выбранный исследователями, с помощью почтового инструмента агента. Исследователи успешно эксфильтруют целевые данные через вызов инструмента.

Вредоносный промпт предписывал опубликовать собранные сведения о тикетах в ответе к обращению. Это вызывало инструмент Atlassian MCP, который выполнял запрошенное действие и эксфильтровал данные в место, доступное исследователям на портале JSM.

Вредоносное ПО Skynet настраивает Tor-прокси для эксфильтрации собранных файлов. Примечание: собранные файлы только выводились в stdout и фактически не были успешно эксфильтрованы.