Si les agents IA peuvent s’avérer très utiles, ils ne sont pas exempts de risques pour la sécurité des utilisateurs. Celui d’OpenAI, ChatGPT Agent, a été détourné afin de pirater en toute discrétion des données sensibles depuis des boîtes Gmail.

Les intelligences artificielles progressent vers toujours plus de serviabilité. L’exemple emblématique ? Le développement d’agents IA, qui font office d’assistants virtuels capables d’agir de manière autonome et de gérer des tâches complexes, comme naviguer sur le web, cliquer sur des liens, accéder à des emails, des documents en ligne ou encore des agendas dès lors que l’accès leur a été consenti.

Mais cette serviabilité est à double tranchant. Si les agents IA aident les honnêtes gens, ils peuvent également servir des desseins moins louables. C’est ce que montre cette preuve de concept mise au point par la société de cybersécurité Radware. En effet, l’équipe est parvenue à détourner ChatGPT Agent pour siphonner des données sensibles depuis Gmail.

Lire aussi – Attention, des malwares peuvent se cacher derrière des images générées par IA. Voici comment s’en protéger

Ce piratage se sert de ChatGPT comme d’un agent double

Shadow Leak, c’est ainsi que Radware a surnommé son piratage. Il repose sur une injection d’invite (ou prompt injection), un type d’attaque presque impossible à bloquer sans connaître en amont l’exploit utilisé et d’autant plus redoutable que l’utilisateur ne se rend compte de rien. Il s’agit en effet d’instructions cachées, qui conduisent l’agent à travailler pour le compte du hacker, et non de l’utilisateur.

Dans le cas de Shadow Leak, c’est Deep Research, un outil d’OpenAI intégré à ChatGPT, qui a servi d’agent double selon nos confrères de The Verge. Voici le mode opératoire :

• Radware insère une injection d’invite dans un email envoyé à une boîte Gmail à laquelle ChatGPT Agent a accès.
• La cible lance Deep Research.
• L’outil tombe sur les instructions dissimulées dans l’email.
• Il se met à rechercher des données personnelles, puis les exfiltre.
• À aucun moment, la victime ne s’en rend compte.

Radware reconnaît que réussir à extraire des données à l’insu de l’Agent n’était pas chose aisée : avant d’y parvenir, ils ont multiplié les échecs. Les données fuitaient depuis le cloud d’OpenAI, là où s’exécutait directement Shadow Leak, contrairement à la plupart des attaques par prompt injection. Les défenses classiques de cybersécurité ne pouvaient donc pas le détecter.

Cette preuve de concept alerte sur le fait que d’autres applications connectées à Deep Research, comme GitHub ou Google Drive, pourraient être vulnérables à de telles attaques. Si les chercheurs en cybersécurité affirment que cette faille a été corrigée par OpenAI dès juin dernier, elle met en lumière les risques inhérents aux agents IA, tels que les dangers liés à l’externalisation.