Шкідливі плагіни під виглядом ChatGPT викрадали дані / Вікіпедія
Більше 1,5 млн програмістів VS Code постраждали від фальшивих плагінів, що імітували ChatGPT. Вони прикидалися асистентами ШІ для кодування, однак насправді потай збирали код, файли та особисті відомості користувачів.
Про це інформує Delo.ua з посиланням на звіт Cybernews.
Шкідливі плагіни під виглядом ChatGPT
Понад 1,5 млн розробників встановили два плагіни для VS Code, які видавали себе за ШІ-помічників на зразок ChatGPT та насправді виконували обіцяні функції. Власне це, за словами експертів KOI Security, і зробило їх особливо небезпечними: за корисною функціональністю переховувався ідентичний шпигунський код.
Мова йде про плагін “ChatGPT – 中文版” з 1,35 млн інсталяцій та “ChatGPT — ChatMoss”, котрий завантажили ще 150 тис. користувачів. Під час дослідження обидва розширення ще були наявними у VS Code Marketplace та виникали серед перших результатів пошуку за запитом “ChatGPT”.
На відміну від законних інструментів на зразок GitHub Copilot, які аналізують окремий шматок коду, несправжні плагіни нишком передавали увесь вміст файлів під час їх відкриття. Дані кодувалися у форматі Base64 та надсилалися через захований iframe, що дозволяло уникати виявлення.
Більше того, сервер міг дистанційно запускати масове викрадення файлів без жодних дій з боку користувача – до 50 документів одночасно. Водночас плагіни збирали метадані через декілька аналітичних платформ, формуючи докладні цифрові профілі жертв.
У KOI Security вважають, що таке профілювання використовувалося для цільового відбору важливих даних – зокрема конфігураційних файлів, паролів та API-ключів. Експерти застерігають: якщо програмісти використовували ці плагіни, захист їхнього коду та робочого середовища міг бути під загрозою.
Нагадаємо, корпорація OpenAI зробила черговий крок до панування на ринку штучного інтелекту, випустивши новий інструмент – ChatGPT Translate.