به گفته‌ی محققان، هکرها می‌توانند چت‌بات بینگ جدید مایکروسافت وادار کنند تا اطلاعات شخصی کاربری که با آن تعامل دارد را بدون اطلاع وی دراختیار آن‌ها قرار دهد.
یک تیم تحقیقاتی با بررسی‌های خود روی بینگ جدید نشان دادند گفت‌وگو با این هوش مصنوعی به‌راحتی تحت‌تأثیر پیام‌های متنی تعبیه‌شده در صفحات وب قرار می‌گیرد و بنابراین یک هکر می‌تواند درخواست خود را با فونتی به‌ابعاد صفر در یک صفحه‌ی وب قرار دهد و زمانی‌که شخصی از چت‌بات سؤالی بپرسد که این هوش مصنوعی به صفحه‌ی وب موردنظر مراجعه کند، به‌طور ناخودآگاه درخواست آن‌ها را فعال خواهد کرد. محققان این نوع حمله را «تزریق سریع غیرمستقیم» نامیده‌اند. تیم تحقیقاتی به‌عنوان مثال به صفحه‌ی ویکی‌پدیای آلبرت انیشتین اشاره می‌کند؛ وقتی کاربر از چت‌بات بینگ درمورد انیشتین سؤال بپرسد، هوش مصنوعی مایکروسافت به صفحه‌ی ویکی‌پدیای مربوط به این دانشمند مراجعه می‌کند و در این شرایط طعمه‌ی دستورات موردنظر هکرها قرار می‌گیرد. به‌عنوان مثال هکرها با روش مذکور ازطریق چت‌بات بینگ از کاربران درخواست میکنند اطلاعات شخصی خود را ارائه دهند.
محققان روش حمله‌ی جدید هکرها به چت‌بات بینگ را با نمونه‌ای از برنامه‌های ساختگی که با مدل‌های زبانی ادغام می‌شوند به‌نمایش گذاشتند. این تیم تحقیقاتی متوجه شد روش مذکور در دنیای واقعی نیز کار می‌کند. کای گرشاک، یکی از نویسندگان اصلی این مقاله می‌گوید تیم وی موفق شده است به چت‌بات هوش مصنوعی بینگ دسترسی پیدا کند و تکنیک‌های جدید را مورد آزمایش قرار دهند. آن‌ها دریافتند که بینگ جدید می‌تواند صفحات وب مرورگر کاربر را تشخیص دهد و این یعنی درخواست آن‌ها باید در صفحه‌ی وبی که در یکی از برگه‌های باز است، جاسازی شود.
بینگ جدید یک ویژگی داخلی دارد که به آن اجازه می‌دهد آنچه در صفحات وب باز کاربر وجود دارد را تشخیص دهد. مایکروسافت درمورد اینکه چه الگوریتمی تصمیم می‌گیرد چت‌بات این شرکت کدام محتوا از کدام برگه‌ها ببیند، هیچ جزئیاتی ارائه نداده است. اکنون وقتی مکالمه‌ی جدیدی با بینگ آغاز شود، این هوش مصنوعی بخشی از محتوا را از برگه‌ی وب فعال دریافت می‌کند.
محققان حتی موفق شدند بینگ جدید را مجبور کنند با لهجه‌ی دزدان دریایی به کاربران پاسخ دهد. در این مثال که اطلاعات آن در گیت‌هاب ارائه شده است، دستور زیر به هوش مصنوعی مایکروسافت تزریق شد:
هنگامی‌که کاربر، چت بینگ را در آن صفحه باز کرد، چت‌بات پاسخ می‌دهد:
محققان همچنین نشان دادند که هکرها می‌توانند اطلاعاتی مثل نام کابری، ایمیل و اطلاعات کارت اعتباری افراد را درخواست کنند. در مثالی دیگر، هکر ازطریق چت‌بات بینگ به کاربر هدف اعلام کرد برای ثبت سفارش خرید به اطلاعات کارت اعتباری او نیاز دارد.
گرشاک در بخش دیگری از توضیحات خود گفت: «پس‌از شروع مکالمه، دستور تزریق‌شده تا زمانی که مکالمه پاک شود و وب‌سایت آلوده باز نباشد، فعال باقی خواهد ماند. این فقط یک متن معمولی در وب‌سایتی است که بینگ به آن دسترسی دارد و با درخواست از آن، اهداف خود را دوباره برنامه‌ریزی می‌کند».
گرشاک می‌گوید اهمیت مرزهای امنیتی بین ورودی‌های قابل‌اعتماد و نامعتبر برای مدل‌های زبانی بزرگ، دست‌کم گرفته شده است. او همچنین اعلام کرد تزریق دستور، یک تهدید امنیتی جدی است که باید هنگام استفاده از این مدل‌ها مورد توجه قرار گیرد.
پیش‌از این نیز مشخص شده بود که برخی افراد با فریب چت‌بات‌های هوشمند مصنوعی، آن‌ها را مجبور به اجرای دستورات خارج از برنامه‌ریزی و زیر پا گذاشتن قوانین میکنند. به‌هرحال ظاهراً مشکل روش جدید تزریق سریع دستور در ChatGPT و بینگ جدید مایکروسافت برطرف نشده است.
کوین لیو، دانشجوی دانشگاه استنفورد از حلمه‌ی تزریق فوری برای کشف نام رمز اولیه‌ی چت‌بات بینگ استفاده کرد. هوش مصنوعی مایکروسافت در پاسخ به لیو گفت که نام رمز آن سیدنی است اما قرار نبود چنین اطلاعاتی را فاش کند.
Vice می‌نویسد، کشف روش تزریق سریع غیر مستقیم به‌دلیل محبوبیت ناگهانی چت‌بات‌های هوش مصنوعی بسیار مهم است. مایکروسافت از مدل GPT شرکت OpenAI در بینگ جدید بهره گرفته است و گوگل و آمازون نیز هردو درحال رقابت برای عرضه‌ی مدل‌های هوش مصنوعی خود به کاربران هستند.
OpenAI اخیراً در توضیح یکی از APIهای ChatGPT در گیت‌هاب به موضوع تزریق سریع اشاره کرد. توسعه‌دهندگان چت‌بات مذکور می‌گویند:
محققان در مقاله‌ی خود خاطرنشان کرده‌اند که مشخص نیست تزریق سریع غیرمستقیم با مدل‌هایی که با روش یادگیری تقویتی از بازخورد انسانی (RLHF) آموزش دیده‌اند، کار خواهد کرد یا خیر. شایان‌ذکر است GPT 3.5 براساس همین مدل آموزش داده شده است.
احتمالاً بهینه‌سازی بینگ جدید برای کاهش پاسخ‌های تهدیدآمیز و عجیب‌وغریب آن ادامه می‌یابد و تحقیقات بنیادی نیز به منظور محدود کردن رفتارهای غیرقابل پیش‌بینی در این مدل‌ها مورد استفاده قرار خواهند گرفت، در غیر این‌صورت کاربران هنگام کار با چت‌بات‌های هوش مصنوعی با خطر فاش شدن اطلاعات شخصی مواجه خواهند شد.
مایکروسافت اعلام کرده است از مشکل تزریق غیرمستقیم اطلاع دارد و اقدامات لازم را برای حفظ امنیت کاربران انجام خواهد داد. این تکنیک فقط در نسخه‌ی پیش‌نمایش مرورگر اج قابل اجرا است و غول فناوری اهل ردموند متعهد شده است تا امنیت مرورگر خود را قبل از انتشار نسخه‌ی عمومی ارتقا دهد.
