В Grafana обнаружена уязвимость GrafanaGhost: хакеры могут заставить AI-ассистента украсть данные

В Grafana обнаружена уязвимость GrafanaGhost: хакеры могут заставить AI-ассистента украсть данные. Фото: из архива Noma Security

Получившая название «GrafanaGhost», она позволяет злоумышленникам с помощью метода «непрямого внедрения подсказок» обманом заставить ИИ переслать конфиденциальную информацию на внешний сервер.

Grafana широко используется в корпоративной среде для мониторинга, концентрируя такие данные, как финансовая отчетность, показатели инфраструктуры и записи клиентов. При обработке контента нейросеть может быть введена в заблуждение, в результате чего она инициирует внешний запрос, а конфиденциальные данные передаются злоумышленнику в параметрах URL.

Grafana Labs подтвердила наличие проблемы и выпустила исправление. Тем не менее, компания не согласна с характеристикой уязвимости как «атаки с нулевым кликом» (zero-click). Директор по безопасности Grafana Labs Джо МакМанус пояснил, что для успешной эксплуатации потребовалось бы значительное взаимодействие с пользователем. Он также подчеркнул, что нет никаких доказательств того, что эта уязвимость была использована в реальных атаках, и никакие данные из Grafana Cloud не были скомпрометированы.

Специалисты советуют администраторам как можно скорее обновить платформу до последней версии, содержащей патч.