وجد فريق بحث أمني طريقة للاستيلاء على أي حساب ChatGPT ببساطة عن طريق جعل الضحية يفتح رابط محادثة مشترك، وفقًا لكشف تقني نشرته Parameter Labs في 28 أكتوبر. وذكرت الشركة أن OpenAI أصلحت الثغرة الأمنية في 26 أكتوبر وصنفت التقرير على أنه P1، وهو أعلى تصنيف خطورة لها.

يعد هذا الاكتشاف بمثابة استحواذ نادر على الحساب الشامل ضد منصة رئيسية للذكاء الاصطناعي، وقد تم التوصل إليه مع استمرار [أحدث تطورات الذكاء الاصطناعي] (https://aibuzzwire.news) في إظهار مقدار المواد الحساسة التي يحتفظ بها الأشخاص الآن داخل تطبيقات الدردشة. قالت Parameter Labs إن الهجوم لا يتطلب تثبيت التطبيق، ولا أدوات المطورين، ولا أي تفاعل يتجاوز فتح عنوان URL ChatGPT المشترك للمهاجم.

كيف تعمل سلسلة الهجوم

أساءت السلسلة استخدام ميزتين عاديتين من ميزات ChatGPT التي بدت غير ضارة بمعزل عن غيرها: رسم بياني تفاعلي وصندوق حماية HTML Preview. تعمل ميزة المعاينة في ChatGPT على تشغيل HTML الذي تم إنشاؤه في إطار مقيد على عنوان ويب منفصل، مما يمنعه من لمس صفحة chatgpt.com التي تم تسجيل الدخول حولها.

جاء الاختراق من الرسم البياني، الذي حمل مكتبة رياضية تسمى MathLive. قامت تلك المكتبة بتثبيت مستمع للرسائل في صفحة ChatGPT الرئيسية للوحة المفاتيح التي تظهر على الشاشة، لكن Parameter Labs وجدت أن المستمع يقبل الرسائل من أي مصدر دون التحقق من المرسل. يمكن لنوع واحد من الرسائل المقبولة استبدال تخطيط لوحة المفاتيح الافتراضية بـ HTML الذي يتحكم فيه المهاجم، والذي قام MathLive بعد ذلك بإدراجه في صفحة ChatGPT الحقيقية من خلال InternalHTML.

البرامج النصية المُدرجة بهذه الطريقة لا يتم تنفيذها عادةً، لذلك قام الباحثون بتغليف حمولتهم في إطار iframe باستخدام سمة srcdoc. نظرًا لأن صفحة ChatGPT الرئيسية أنشأت هذا الإطار بدون وضع الحماية، فقد تعامل المتصفح مع الكود الموجود بداخله على أنه محتوى chatgpt.com أصلي مع إمكانية الوصول إلى الصفحة الرئيسية.

الهروب من سياسة أمان المحتوى

لا تزال سياسة أمان المحتوى الخاصة بـ ChatGPT تحظر البرامج النصية المضمنة، لكن Parameter Labs وجدت ثغرة: حيث سمحت السياسة بالبرامج النصية من YouTube. اكتشف الباحثون أن نقطة نهاية oEmbed في YouTube تعكس معلمة رد اتصال JSONP غير صالحة في استجابة الخطأ الخاصة بها قبل التحقق من الصحة، مما يسمح لهم بإضافة JavaScript القابل للتنفيذ إلى الاستجابة التي سيسعد المتصفح بتحميلها كبرنامج نصي.

في تلك المرحلة، كان لدى الفريق جافا سكريبت عشوائيًا يعمل بهوية chatgpt.com داخل جلسة تسجيل دخول الضحية. كانت Parameter Labs واضحة بشأن ما يعنيه ذلك عمليًا: لم تقتصر الحمولة على تعديل الصفحة أو عرض تنبيه - بل يمكنها استدعاء واجهات برمجة التطبيقات المصادق عليها في ChatGPT مباشرة باعتبارها الضحية. في الاختبار، يمكن للحمولة تعداد قائمة محادثات الضحية، واسترداد محتويات المحادثات الخاصة التي لم تتم مشاركتها مع المهاجم مطلقًا، وإرسال تلك البيانات إلى خادم خارجي. حدد المتصفح كل إجراء على أنه صادر من موقع chatgpt.com نفسه، مما لا يعطي الضحية أي إشارة واضحة إلى حدوث أي خطأ.

رابط واحد كان كافيا

إن ما حول خطأ البحث إلى سلاح عملي هو التوصيل. وضع الباحثون الرسم البياني وكتلة HTML القابلة للمعاينة في محادثة عادية واحدة، ونشروها باستخدام ميزة المشاركة العادية في ChatGPT، وأرسلوا الرابط /المشاركة/ الناتج بنفس الطرق التي قد يستخدمها أي شخص: البريد الإلكتروني، أو الدردشة، أو تذكرة الدعم، أو منشور اجتماعي.

في النسخة الأكثر استقرارًا، كان على الضحية النقر فوق زر معاينة ChatGPT مرة واحدة بعد فتح الرابط. قام إصدار أحدث بوضع علامة على كتلة HTML على أنها قابلة للمعاينة، لذلك فتحها ChatGPT تلقائيًا وكان الإجراء الوحيد المطلوب من الضحية هو زيارة عنوان URL. أعاد الفريق إنتاج هذا المسار التلقائي بالكامل ثلاث مرات في حساب منفصل، بما في ذلك بعد التحديث الثابت، مع إطلاق الحمولة بعد 4.5 ثانية تقريبًا من تحميل الصفحة.

ونظرًا لتحميل الرسم البياني والمعاينة بشكل مستقل، فقد يتم إطلاق الحمولة في بعض الأحيان قبل أن يصبح MathLive جاهزًا. أعاد الإصدار النهائي تجربة رسائله لفترة محدودة للتعامل مع حالة السباق هذه.

الإفصاح والإصلاح

أبلغت Parameter Labs شركة OpenAI بالمشكلة، والتي أرسلت إصلاحًا في 26 أكتوبر وصنفت التقرير على أنه P1. ويأتي هذا الكشف وسط سلسلة واسعة من الأبحاث الأمنية لمنصة الذكاء الاصطناعي؛ في وقت سابق من هذا الأسبوع، أبلغت The Register عن أخطاء في خمس أدوات لمطوري الذكاء الاصطناعي، وبعضها لا يزال دون إصلاح حتى وقت النشر.

الدرس معمم خارج مكتبة واحدة. تتكون تطبيقات الدردشة الحديثة من مكونات خارجية، ومعاينات في وضع الحماية، وقنوات رسائل متساهلة في صفحة واحدة مصادق عليها، ويمكن لأي جهاز استقبال postMessage لم يتم التحقق منه أن يصبح الجسر بينهما. بالنسبة للمستخدمين، لم يتغير التوجيه العملي عن أمان الويب الكلاسيكي: تعامل مع الروابط إلى محادثات الذكاء الاصطناعي المشتركة بنفس الطريقة التي تتعامل بها مع أي رابط آخر غير مرغوب فيه، لأن النظام الأساسي لم يعد بإمكانه أن يعد بأن فتح رابط غير ضار.

من جانبها، يشير تصنيف OpenAI's P1 والتحول السريع إلى أن الشركة تتعامل مع هجمات الجلسة المستندة إلى المتصفح على موقع chatgpt.com باعتبارها تهديدات من الدرجة الأولى. يعد هذا الحادث أيضًا بمثابة تذكير بمدى تركز القيمة في هذه الحسابات الآن بعد أن قام المستخدمون بتخزين مستندات العمل والأسئلة الطبية والمشاريع الخاصة في سجل الدردشة - وهو بالضبط المحتوى الذي أثبتت Parameter Labs أن المهاجم كان من الممكن أن يستخرجه.

---

ابقَ في طليعة الذكاء الاصطناعي

احصل على آخر الأخبار والتحليلات والإنجازات في مجال الذكاء الاصطناعي — كل ذلك في مكان واحد.

اقرأ المزيد من أخبار الذكاء الاصطناعي →