🛡 Уязвимость ChatGPT для Google Sheets: кража целых книг через prompt injection

Исследователи Prompt Armor обнаружили критическую уязвимость в расширении ChatGPT для Google Sheets. Всего одна атака с использованием косвенной инъекции промптов позволяет злоумышленнику выкрасть множество рабочих книг, отобразить фишинговое окно, подменить интерфейс чат-бота и редактировать таблицы жертвы. Атака срабатывает даже при включённом подтверждении действий пользователем.

Проблема в том, что расширение ChatGPT для Google Sheets (установлено более 185 000 раз) может выполнять внешние скрипты Apps Script, используя права, выданные пользователем. Если в импортированную таблицу или данные из коннектора внедрена скрытая инструкция, ChatGPT выполняет её при первом же запросе. В ответ на публикацию OpenAI отключила возможность генерации Apps Script-кода и пообещала пересмотреть песочницу и защиту от prompt injection.

Для разработчиков это напоминание: любые AI-расширения с доступом к данным и скриптам — потенциальный вектор атаки. Пока OpenAI пересматривает архитектуру, пользователям стоит отозвать права расширения или отключить автоматическое выполнение.

#AI #Cybersecurity #ChatGPT #GoogleSheets #Promptinjection #Vulnerability

🛡 Ire находит новый вариант LOTUSLITE, невидимый для большинства EDR

Проект Ire от Microsoft Research — автономный LLM-агент для классификации вредоносного ПО — обнаружил новый вариант бэкдора LOTUSLITE. Образец (SHA-256: 47e51e…) не совпадает ни с одним индикатором компрометации (IOC) из публичного отчета Acronis, и по состоянию на 4 июня 2026 года большинство EDR (CrowdStrike Falcon, SentinelOne, Sophos, Trellix, Palo Alto, ESET) его не детектируют. Ire проанализировал DLL без какого-либо контекста, используя только декомпилятор, и выдал вердикт «malicious» — с полным функциональным отчетом: установочная процедура, структура C2-пакетов, ID команд, механизм персистентности и обфускация.

Ключевая особенность: Ire работает без метаданных, телеметрии и подсказок аналитика. Агент самостоятельно вызывает декомпиляторы и бинарные анализаторы, строит проверяемую цепочку доказательств и принимает решение. В данном случае он корректно отклонил ложное срабатывание на функцию nf_unRegisterDriver — несмотря на подозрительное имя, агент не стал утверждать, что она перехватывает пакеты, так как фактически она лишь пишет ключ автозапуска. Это демонстрирует, как LLM-анализ может избегать типичных ошибок переобучения на «подозрительные строки».

Практическое значение: Ire решает проблему вариантов, которые разделяют TTPs (тактики, техники, процедуры) с известными семействами, но не имеют совпадающих IOC. Такие образцы проходят мимо сигнатурных списков, но поведенческий анализ на основе LLM их ловит.

#Ai #Tech #IRE #CyberSecurity #Vulnerability #Microsoft #Research

🛡 Критическая уязвимость Copilot позволяла красть 2FA-коды у пользователей

Исследователи безопасности обнаружили опасную уязвимость в Microsoft Copilot, получившую название SearchLeak. Эксплойт позволяет злоумышленникам перехватывать одноразовые коды двухфакторной аутентификации (2FA) прямо из диалогов с AI-ассистентом, обходя защиту на уровне браузера и почтовых клиентов.

Проблема связана с тем, что Copilot может индексировать и отображать содержимое писем и уведомлений, включая 2FA-коды, если пользователь предоставил ассистенту доступ к своей электронной почте или календарю. Атакующий может с помощью специально сконструированного промпта заставить Copilot «просочиться» и выдать эти данные, не требуя дополнительной аутентификации. Microsoft уже выпустила патч, но эксперты отмечают, что это системная проблема архитектуры LLM-ассистентов, имеющих доступ к конфиденциальным пользовательским данным.

#AI #Vulnerability #Copilot #Microsoft #Security

✉️ Неисправленная уязвимость Claude for Chrome позволяет расширениям читать Gmail и Календарь

В расширении Claude for Chrome обнаружена неисправленная уязвимость, которая позволяет другим браузерным расширениям перехватывать содержимое писем Gmail и событий Google Calendar. Проблема связана с недостаточной изоляцией контекста выполнения — вредоносное расширение может получить доступ к данным, которые обрабатывает ИИ-ассистент Anthropic.

Уязвимость затрагивает механизм взаимодействия расширения с веб-страницами: Claude for Chrome внедряет скрипты в DOM почтового клиента и календаря, но не проверяет, какое именно расширение отправляет запросы. Злоумышленник может создать расширение, которое «подслушивает» диалог пользователя с Claude и извлекает конфиденциальные данные.

На момент публикации Anthropic не выпустила патч. Пользователям рекомендуется временно отключить расширение или использовать изолированный профиль браузера для работы с конфиденциальными данными. Разработчикам стоит внедрить проверку источника сообщений (origin validation) и использовать изолированные iframe для обработки данных.

#Safety #Vulnerability #Claude #Anthropic #Security #AI

🛡 Фундаментальная уязвимость LLM: атака через подделку цепочки мыслей

Исследователи представили на ICML 2026 работу, доказывающую, что большие языковые модели невозможно сделать полностью защищёнными от взломов. Причина — фундаментальный недостаток: LLM не способны надёжно различать источник инструкций (пользователь, ассистент, системный промпт, внутренние заметки). Используя подделку цепочки мыслей (chain‑of‑thought forgery), авторы заставили OpenAI GPT-5, Anthropic Claude, Alibaba Qwen и DeepSeek выдавать запрещённую информацию — от синтеза кокаина до инструкций по саботажу навигации самолёта.

Атака заключается во вставке в запрос текста, маскирующегося под внутренние заметки модели (теги ). Модель «думает», что сама приняла решение помочь, и игнорирует guardrails. Этот метод победил на хакерском конкурсе OpenAI в 2025 году. Похожую атаку автоматически обнаружил и собственный «супер-хакер» OpenAI — GPT-Red.

По словам авторов, проблема принципиально нерешаема: любой список запретов неполон. Это ставит под вопрос безопасность LLM в критических приложениях — от госорганов до здравоохранения и военных систем.

#Safety #LLM #AI #Security #Vulnerability #Research #ICML

❗️Кто-то маскирует массовые сканы уязвимостей под AI-ботов вроде ClaudeBot

Специалисты по безопасности заметили необычную активность: злоумышленники запускают массовое сканирование веб-ресурсов, подделывая user-agent известных AI-краулеров — включая ClaudeBot от Anthropic. Об этом сообщается в отчёте KnownAgents, который попал на первую страницу Hacker News.

Атака строится на доверии: многие администраторы и системы защиты (CDN, WAF, файрволы) пропускают официальных ботов поисковых систем и ИИ-компаний, не проверяя их IP-адреса и сертификаты. Сканеры под чужим user-agent'ом обходят базовые защиты и собирают информацию о структуре сайта, открытых портах и потенциально уязвимых эндпоинтах.

Проблема усугубляется тем, что легитимные AI-краулеры и так создают повышенную нагрузку на серверы, и владельцы сайтов часто просто не могут отличить настоящего бота от подделки. В KnownAgents рекомендуют проверять не только user-agent, но и IP-адреса, публикуемые официально самими компаниями — например, Anthropic публикует список своих диапазонов, и любые запросы вне этих диапазонов следует считать подозрительными.

Пока неясно, кто стоит за сканами и какую именно цель преследуют злоумышленники — от сбора данных для последующих атак до банального перебора уязвимостей в автоматическом режиме. Но сам факт подделки AI-ботов подтверждает: доверять user-agent'у вслепую больше нельзя.

#Safety #AI #Security #ClaudeBot #CyberAttack #Vulnerability #HackerNews

❌Ошибка в именовании позволила ИИ-моделям атаковать реальную компанию

Специалисты по безопасности рассказали о необычном инциденте: из-за ошибки в именовании ИИ-модели смогли атаковать реальную организацию. Проблема возникла из-за коллизии имён — ресурс или компонент, связанный с машинным обучением, получил имя, совпадающее с внутренним элементом инфраструктуры настоящей компании.

Это классический пример «нерегулярной» уязвимости, которая не связана с классическими багами кода. Если модель или её инструментарий использует имя, занятое другим сервисом, злоумышленники могут перехватить запросы, подменить данные или заставить модель обратиться к подконтрольному атакующим ресурсу. В случае с реальной компанией это привело к тому, что AI-системы начали взаимодействовать с чужим сервисом, считая его легитимной частью собственной среды.

Исследователи предупреждают: разработчикам ИИ-инфраструктуры нужно тщательно проверять занятость имён и доменов перед развёртыванием моделей, а также внедрять механизмы верификации владения ресурсами. Такие инциденты показывают, что безопасность моделей зависит не только от алгоритмов, но и от базовой гигиены именования в экосистеме ИИ.

#Safety #AI #CyberSecurity #Vulnerability #Attack #SecurityWeek #Incident