Laut einer am 28. Oktober von Parameter Labs veröffentlichten technischen Offenlegung hat ein Sicherheitsforschungsteam eine Möglichkeit gefunden, jedes ChatGPT-Konto zu übernehmen, indem es das Opfer einfach dazu brachte, einen gemeinsamen Konversationslink zu öffnen. Das Unternehmen berichtete, dass OpenAI die Schwachstelle am 26. Oktober behoben habe, und stufte den Bericht als P1 ein, der höchsten Schweregradbewertung.
Bei dem Ergebnis handelt es sich um eine seltene End-to-End-Kontoübernahme im Vergleich zu einer Mainstream-KI-Plattform, und es kam zu einem Zeitpunkt, als die neuesten KI-Entwicklungen immer wieder zeigen, wie viel sensibles Material Menschen mittlerweile in Chat-Anwendungen aufbewahren. Laut Parameter Labs erforderte der Angriff keine App-Installation, keine Entwicklertools und keine Interaktion außer dem Öffnen der freigegebenen ChatGPT-URL des Angreifers.
Wie die Angriffskette funktionierte
Die Kette missbrauchte zwei gewöhnliche ChatGPT-Funktionen, die isoliert harmlos aussahen: ein interaktives Diagramm und die HTML-Vorschau-Sandbox. Die Vorschaufunktion von ChatGPT führt generiertes HTML in einem eingeschränkten Frame auf einer separaten Webadresse aus, wodurch verhindert werden sollte, dass die angemeldete chatgpt.com-Seite um sie herum berührt wird.
Der Durchbruch gelang mit dem Graph, der eine Mathematikbibliothek namens MathLive lud. Diese Bibliothek installierte einen Nachrichten-Listener auf der Hauptseite von ChatGPT für ihre Bildschirmtastatur, aber Parameter Labs stellte fest, dass der Listener Nachrichten jeglichen Ursprungs akzeptierte, ohne den Absender zu überprüfen. Ein akzeptierter Nachrichtentyp könnte das virtuelle Tastaturlayout durch vom Angreifer gesteuertes HTML ersetzen, das MathLive dann über innerHTML in die echte ChatGPT-Seite einfügt.
Auf diese Weise eingefügte Skripte werden normalerweise nicht ausgeführt, daher haben die Forscher ihre Nutzdaten mithilfe des srcdoc-Attributs in einen Iframe verpackt. Da die ChatGPT-Hauptseite diesen Frame ohne Sandbox erstellte, behandelte der Browser den darin enthaltenen Code als echten chatgpt.com-Inhalt mit Zugriff auf die übergeordnete Seite.
Der Inhaltssicherheitsrichtlinie entkommen
Die Inhaltssicherheitsrichtlinie von ChatGPT blockierte immer noch Inline-Skripte, aber Parameter Labs fand eine Lücke: Die Richtlinie erlaubte Skripte von YouTube. Die Forscher fanden heraus, dass der oEmbed-Endpunkt von YouTube vor der Validierung einen ungültigen JSONP-Callback-Parameter in seiner Fehlerantwort widerspiegelte, wodurch sie ausführbares JavaScript einer Antwort voranstellen konnten, die der Browser gerne als Skript laden würde.
Zu diesem Zeitpunkt ließ das Team in der angemeldeten Sitzung des Opfers willkürliches JavaScript mit der Identität von chatgpt.com laufen. Parameter Labs machte deutlich, was das in der Praxis bedeutete: Die Nutzlast war nicht auf die Änderung der Seite oder die Anzeige einer Warnung beschränkt – sie konnte direkt die authentifizierten APIs von ChatGPT als Opfer aufrufen. Beim Testen könnte die Nutzlast die Konversationsliste des Opfers aufzählen, den Inhalt privater Konversationen abrufen, die nie mit dem Angreifer geteilt wurden, und diese Daten an einen externen Server senden. Der Browser identifizierte jede Aktion als von chatgpt.com selbst stammend und gab dem Opfer kein sichtbares Signal, dass etwas nicht stimmte.
Ein Link war genug
Was einen Forschungsfehler in eine praktische Waffe verwandelte, war die Lieferung. Die Forscher fügten das Diagramm und einen vorschaubaren HTML-Block in eine einzige gewöhnliche Konversation ein, veröffentlichten sie mit der normalen Freigabefunktion von ChatGPT und versendeten den resultierenden /share/-Link über dieselben Wege, die jeder verwenden würde: E-Mail, Chat, ein Support-Ticket oder einen Social-Media-Beitrag.
Bei der stabilsten Reproduktion musste das Opfer nach dem Öffnen des Links einmal auf die Schaltfläche „Vorschau“ von ChatGPT klicken. Eine spätere Version markierte den HTML-Block als vorschaubar, sodass ChatGPT ihn automatisch öffnete und die einzige erforderliche Aktion des Opfers darin bestand, die URL aufzurufen. Das Team reproduzierte diesen vollautomatischen Pfad dreimal in einem separaten Konto, auch nach einer harten Aktualisierung, wobei die Nutzlast etwa 4,5 Sekunden nach dem Laden der Seite ausgelöst wurde.
Da das Diagramm und die Vorschau unabhängig voneinander geladen wurden, konnte es gelegentlich vorkommen, dass die Nutzlast ausgelöst wurde, bevor MathLive bereit war. Die endgültige Version wiederholte ihre Nachrichten für einen begrenzten Zeitraum, um diese Race-Bedingung zu bewältigen.
Offenlegung und Korrektur
Parameter Labs meldete das Problem an OpenAI, das am 26. Oktober einen Fix lieferte und den Bericht mit P1 bewertete. Die Offenlegung erfolgt im Rahmen einer umfassenderen Forschung zur Sicherheit von KI-Plattformen. Anfang dieser Woche meldete The Register Fehler in fünf KI-Entwicklertools, von denen einige zum Zeitpunkt der Veröffentlichung noch nicht behoben waren.
Die Lektion wird über eine Bibliothek hinaus verallgemeinert. Moderne Chat-Anwendungen stellen Komponenten von Drittanbietern, Sandbox-Vorschauen und freizügige Nachrichtenkanäle auf einer einzigen authentifizierten Seite zusammen, und jeder nicht verifizierte PostMessage-Empfänger kann die Brücke zwischen ihnen bilden. Für Benutzer gelten die gleichen praktischen Richtlinien wie bei der klassischen Web-Sicherheit: Behandeln Sie Links zu geteilten KI-Konversationen genauso wie jeden anderen unerwünschten Link, da die Plattform nicht mehr versprechen kann, dass das Öffnen eines solchen Links harmlos ist.
Die P1-Klassifizierung und die schnelle Abwicklung von OpenAI wiederum lassen darauf schließen, dass das Unternehmen browserbasierte Sitzungsangriffe auf chatgpt.com als Bedrohungen erster Stufe behandelt. Der Vorfall ist auch eine Erinnerung daran, wie viel Wert in diesen Konten liegt, da Benutzer Arbeitsdokumente, medizinische Fragen und private Projekte im Chat-Verlauf speichern – genau die Inhalte, die Parameter Labs bewiesen hat, die ein Angreifer hätte extrahieren können.
---
Der KI einen Schritt voraus seinErhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Weitere KI-Neuigkeiten lesen →
