去年公布的ChatGPT附加元件SSRF漏洞出現攻擊行動，美國政府機關是頭號目標

去年3月有研究人員公布ChatGPT commit f9f4bbc存在伺服器偽造請求（SSRF）漏洞CVE-2024-27564，此漏洞被列為中度風險層級，存在名為pictureproxy.php的元件，CVSS風險為6.5，近期有資安業者警告，該漏洞已被用於實際攻擊。

資安業者Veriti發現有人從今年1月開始將這項漏洞用於實際攻擊，惡意行為源自單一惡意IP位址，總共發動10,479次嘗試利用，主要目標是金融機構，原因是攻擊者偏好尋找以AI為基礎的服務及API整合的環境下手，但醫療照護、政府機關也有災情。

根據受害產業與地理位置來看，駭客的頭號目標是美國的政府機關。三分之一的攻擊行動針對美國企業組織而來占大宗，但德國、泰國、印尼、哥倫比亞、英國也有災情。

雪上加霜的是，研究人員發現有超過三分之一（35%）的受害組織，因為入侵防禦系統（IPS）、網頁應用程式防火牆（WAF），以及防火牆的組態配置不當，導致他們的IT環境並未受到這些資安系統的保護。

針對CVE-2024-27564的來源，乍看Veriti的調查報告很容易誤以為是ChatGPT本身的問題。但根據資安業者賽門鐵克的說明，這項漏洞出現在由PHP開發的開源專案ChatGPT commit f9f4bbc（現在已無法找到該專案，疑似已經下架），此工具的主要功能，就是呼叫OpenAI的API進行問答。這波攻擊行動的發現，研究人員認為代表企業組織對於較不危險的漏洞往往容易輕忽、延後或甚至不予處理，而導致攻擊者有機可乘。