Prompt injection trong EmailGPT làm lộ system prompt và thực thi prompt ngoài ý muốn

Dịch vụ EmailGPT chứa một lỗ hổng prompt injection. Dịch vụ sử dụng một API service cho phép người dùng độc hại chèn một prompt trực tiếp và chiếm quyền điều khiển logic của dịch vụ. Kẻ tấn công có thể khai thác vấn đề này bằng cách buộc dịch vụ AI làm lộ các system prompt tiêu chuẩn được hard-code và/hoặc thực thi các prompt ngoài ý muốn. Khi tương tác với EmailGPT bằng cách gửi một prompt độc hại yêu cầu thông tin có hại, hệ thống sẽ phản hồi bằng cách cung cấp dữ liệu được yêu cầu. Lỗ hổng này có thể bị khai thác bởi bất kỳ cá nhân nào có quyền truy cập dịch vụ.

Theo advisory, nhánh main của EmailGPT bị ảnh hưởng.

• Bản ghi CNA đánh dấu EmailGPT Git version 0 là bị ảnh hưởng tới một commit Git giới hạn trên cụ thể.
• Giá trị đầy đủ của commit identifier không được lặp lại trong entry này; cần đối chiếu deployment với bản ghi CNA hoặc lịch sử repository thay vì giả định mọi commit mới hơn đều đã an toàn.
• Trạng thái mặc định của sản phẩm là unknown.
• Không có fixed release hoặc patch cụ thể nào được xác nhận.

EmailGPT cung cấp một API service và Google Chrome extension dùng để hỗ trợ soạn email bằng các mô hình GPT. Lỗ hổng thuộc CWE-74, xảy ra khi prompt do người dùng kiểm soát được đưa vào cùng luồng xử lý với chỉ dẫn hệ thống mà không được phân tách hoặc trung hòa đầy đủ. Attacker có thể gửi một prompt trực tiếp để chiếm quyền điều khiển logic xử lý của dịch vụ, buộc AI làm lộ các system prompt được hard-code và/hoặc thực thi prompt ngoài ý muốn. Mô tả của CNA cũng xác nhận rằng khi gửi prompt độc hại yêu cầu thông tin có hại, hệ thống có thể trả lại dữ liệu được yêu cầu. Dịch vụ phải có khả năng truy cập đối với attacker, nhưng chi tiết triển khai cho phép prompt ghi đè chỉ dẫn hệ thống và ranh giới xác thực chính xác chưa được công bố.

Attacker khai thác bằng cách gửi prompt độc hại tới EmailGPT; advisory không mô tả yêu cầu nạn nhân phải tương tác riêng với yêu cầu đó. Bất kỳ cá nhân nào có quyền truy cập dịch vụ đều được xác định là có thể khai thác. Các đánh giá trong hồ sơ không hoàn toàn thống nhất về phạm vi truy cập và đặc quyền: một đánh giá mô hình hóa truy cập từ mạng lân cận với đặc quyền thấp, trong khi đánh giá khác mô hình hóa truy cập mạng không cần đặc quyền, vì vậy điều kiện xác thực cụ thể vẫn chưa rõ. Trường public_exploit trong bản ghi được đặt là false, và dữ liệu enrichment đi kèm ghi nhận trạng thái khai thác là none tại thời điểm đánh giá; điều này không chứng minh rằng chưa từng có hoặc sẽ không có hoạt động khai thác.

Lỗ hổng có thể khiến EmailGPT tiết lộ system prompt hard-code và trả về dữ liệu được yêu cầu thông qua prompt độc hại. Attacker cũng có thể làm dịch vụ thực thi prompt ngoài ý muốn hoặc chiếm quyền điều khiển logic xử lý, làm giảm độ tin cậy của output. Advisory cảnh báo thêm về rò rỉ intellectual property, denial of service và chi phí tăng do các request lặp lại tới API có tính phí. Hồ sơ không xác nhận arbitrary code execution, compromise máy chủ nền hoặc đánh cắp credential, nên các hậu quả đó vẫn phải được xem là chưa được chứng minh.

Các hậu quả được advisory nêu rõ gồm rò rỉ intellectual property, denial of service và tổn thất tài chính trực tiếp do attacker gửi lặp lại các request tới AI provider có tính phí theo lượt. Việc lộ system prompt có thể tiết lộ logic hoặc chỉ dẫn nội bộ mà tổ chức muốn bảo vệ. Nếu dịch vụ xử lý dữ liệu doanh nghiệp trong prompt hoặc output, việc prompt injection có thể làm tăng nguy cơ disclosure dữ liệu, nhưng hồ sơ không xác định cụ thể loại dữ liệu nào bị lộ. Chi phí API và mức độ gián đoạn phụ thuộc vào cách tổ chức triển khai EmailGPT và giới hạn của AI provider.

1. Gỡ EmailGPT khỏi mạng ngay lập tức, phù hợp với khuyến nghị của advisory khi chưa có phản hồi hoặc bản sửa lỗi được xác nhận từ maintainer.
2. Không đưa dịch vụ trở lại production chỉ dựa trên việc dùng một commit hoặc nhánh mới hơn, vì hồ sơ không xác nhận fixed release cho các nhánh sau đó.
3. Nếu chưa thể gỡ ngay, cô lập dịch vụ và giới hạn quyền truy cập vào API ở mức tối thiểu cần thiết. Đây là biện pháp giảm thiểu tạm thời, không phải bản sửa lỗi đã được nhà phát triển xác nhận.
4. Trước khi khôi phục, yêu cầu maintainer cung cấp bản sửa lỗi và đối chiếu chính xác nhánh hoặc commit với toàn bộ phạm vi bị ảnh hưởng. Đồng thời kiểm tra request history và billing để đánh giá prompt leakage, request ngoài ý muốn và chi phí phát sinh.

Kiểm tra inventory để xác định các triển khai EmailGPT API service và Google Chrome extension trong môi trường, đồng thời xác định các bản sao từ nhánh main hoặc Git boundary nằm trong phạm vi bị ảnh hưởng. Rà soát request và output của API để tìm các prompt yêu cầu tiết lộ system prompt, bỏ qua chỉ dẫn hệ thống, thực thi prompt ngoài ý muốn hoặc cung cấp thông tin có hại. Đối chiếu output của dịch vụ với system prompt chuẩn đã cấu hình để phát hiện việc rò rỉ nội dung hard-code. Kiểm tra log sử dụng và billing của AI provider để tìm các chuỗi request lặp lại bất thường, vì advisory nêu rõ nguy cơ phát sinh chi phí từ các request pay-per-use. Đây là các biện pháp phát hiện và giám sát phòng ngừa; việc không thấy log bất thường không chứng minh hệ thống an toàn.