ChatGPT 曝出“ShadowLeak”漏洞:黑客可借“深度研究”模式無痕竊取 Gmail 賬戶信息

　　據 Radware 安全研究人員披露，人工智能平臺 ChatGPT 的“深度研究”模式曾存在一個名為“ShadowLeak”的嚴重漏洞。該漏洞允許攻擊者在用戶毫不知情的情況下，悄然竊取其 Gmail 賬戶中的姓名、地址等敏感數據。

　　該攻擊的特殊之處在于，它完全發生在 OpenAI 自己的云基礎設施內，不留任何痕跡，并能繞過防火墻等本地安全防護。研究人員將這種攻擊代理比作“一個被外部操縱的內部人員”。

　　據了解，攻擊始于一封經過精心偽裝的電子郵件，其主題看似普通，但郵件正文卻利用隱藏的 HTML（例如，白底白字或小字體）嵌入惡意指令。這些指令會誘騙“深度研究”模式的代理執行以下操作:從用戶的另一封電子郵件中提取個人數據。或者將這些數據通過 Base64編碼后發送到一個由攻擊者控制的外部 URL。

　　為了繞過代理的內置安全措施，攻擊者使用了社會工程學技術，讓代理“相信”其有權執行該任務，并以“報告不完整”等理由制造緊迫感。當用戶啟動“深度研究”查詢時（例如“分析我今天的人力資源郵件”），該代理會在不知不覺中處理這封惡意郵件，并執行隱藏指令，將數據靜默傳輸到攻擊者的服務器，整個過程對用戶完全透明。

　　Radware 指出，該漏洞并非源于語言模型本身，而是代理執行工具的能力。其中，名為 browser.open（） 的內部功能允許代理發起 HTTP 請求，成為此次攻擊的突破口。

　　研究人員警告，這種攻擊方法不僅限于電子郵件，任何代理處理結構化文本的平臺，如 Google Drive、Outlook、Teams、Notion 或 GitHub 等都可能面臨風險。惡意指令可以被隱藏在會議邀請、共享 PDF 文件或聊天記錄中，將常規的 AI 任務變成潛在的安全漏洞。

　　Radware 已于2025年6月18日通過 Bugcrowd 平臺向 OpenAI 報告了該漏洞。OpenAI 于8月初完成了修復，但直到9月3日才公開承認并確認該問題已解決。

　　此次事件再次凸顯了 AI 代理系統的脆弱性。核心問題在于“即時注入”（Prompt Injection），即攻擊者將隱藏指令嵌入用戶無察覺的文本中。盡管該漏洞已存在多年，但仍未找到可靠的解決方案。有研究表明，幾乎每個 AI 代理都可能被入侵，尤其那些能夠訪問互聯網的代理，極易被操縱導致數據泄露、惡意軟件下載等問題。OpenAI 首席執行官 Sam Altman 也曾警告，不要將高風險或敏感任務委托給 AI 代理。