# Slack AI: данные из приватных каналов через инструкции в публичном канале

> PromptArmor показала, что участник рабочего пространства Slack мог разместить в публичном канале текст, который Slack AI затем выполнял как инструкцию при запросе другого сотрудника, раскрывая данные из приватных каналов, куда у атакующего нет доступа. Salesforce сначала сочла поведение штатным, затем выпустила исправление.

- Канонический HTML: [/incidents/slack-ai-prompt-injection-private-channels](https://ai-first.tech/incidents/slack-ai-prompt-injection-private-channels)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

- Дата: 2024-08-20
- Категория: Внедрение инструкций
- Затронуто: Slack AI (Salesforce), рабочие пространства Slack с подключённым AI-модулем
- Критичность: Высокий

## Что произошло

14 августа 2024 года исследователи PromptArmor сообщили Slack о проблеме. В тот же день Slack расширил возможности AI: в ответы стали включаться файлы из каналов и личных сообщений, что, по оценке исследователей, расширило поверхность атаки. Команда безопасности Slack ответила, что доступность публичных каналов для поиска всем участникам является задуманным поведением. 20 августа PromptArmor опубликовала описание, после чего Salesforce сообщила о выпуске исправления и об отсутствии признаков несанкционированного доступа к данным клиентов.

## Где нарушилась защита

Slack AI при ответе ищет по всем доступным пользователю каналам, включая публичные каналы, в которых он не состоит. Текст из публичного канала попадал в контекст наравне с приватными сообщениями пользователя, и модель не отличала данные от инструкций. В результате ответ мог содержать ссылку, при переходе по которой приватные данные уходили на внешний адрес. Граница доверия нарушалась, когда сообщения любого участника получали влияние на ответы, сформированные с правами другого сотрудника.

## Последствия

- Исследователи продемонстрировали извлечение секрета (API-ключа) из приватного канала, в котором атакующий не состоял
- Для атаки достаточно было быть участником рабочего пространства и создать публичный канал
- Salesforce сообщила, что не обнаружила несанкционированного доступа к данным клиентов

## Реакция

После публикации PromptArmor 20 августа 2024 года Salesforce выпустила исправление и заявила об отсутствии свидетельств несанкционированного доступа к данным клиентов.

## Уроки для бизнеса

- Корпоративный мессенджер с AI-поиском превращает любое сообщение в потенциальную инструкцию для ассистента
- Расширение источников для AI, например добавление файлов, увеличивает поверхность атаки и требует повторной оценки рисков
- Секреты, отправленные в мессенджер, становятся целью атак через AI-ассистента

## Меры защиты

- Запретить хранение секретов в мессенджерах и сканировать сообщения на их наличие
- Ограничить источники, из которых AI-ассистент берёт контекст, и проверять изменения этих настроек
- Фильтровать внешние ссылки в ответах AI-ассистента
- Переоценивать риски при каждом расширении функций AI у вендора

Связанные карточки угроз: A03, A13, A09, A53, A10

## Первоисточники

- [Data Exfiltration from Slack AI via indirect prompt injection](https://promptarmor.substack.com/p/data-exfiltration-from-slack-ai-via) — PromptArmor
- [Slack AI can leak private data via prompt injection](https://www.theregister.com/2024/08/21/slack_ai_prompt_injection/) — The Register