Μια ερευνητική ομάδα ασφαλείας βρήκε έναν τρόπο να καταλάβει οποιονδήποτε λογαριασμό ChatGPT απλώς βάζοντας το θύμα να ανοίξει έναν κοινό σύνδεσμο συνομιλίας, σύμφωνα με μια τεχνική αποκάλυψη που δημοσιεύτηκε από την Parameter Labs στις 28 Οκτωβρίου. Η εταιρεία ανέφερε ότι το OpenAI διόρθωσε την ευπάθεια στις 26 Οκτωβρίου και κατέταξε την αναφορά ως P1, την υψηλότερη βαθμολογία σοβαρότητας.
Το εύρημα είναι μια σπάνια εξαγορά λογαριασμού από άκρο σε άκρο έναντι μιας κύριας πλατφόρμας τεχνητής νοημοσύνης και προσγειώθηκε καθώς οι [τελευταίες εξελίξεις τεχνητής νοημοσύνης] (https://aibuzzwire.news) συνεχίζουν να δείχνουν πόσο ευαίσθητο υλικό διατηρούν πλέον οι άνθρωποι στις εφαρμογές συνομιλίας. Η Parameter Labs είπε ότι η επίθεση δεν απαιτούσε εγκατάσταση εφαρμογής, κανένα εργαλείο προγραμματιστή και καμία αλληλεπίδραση πέρα από το άνοιγμα της κοινόχρηστης διεύθυνσης URL ChatGPT του εισβολέα.
Πώς λειτούργησε η αλυσίδα επίθεσης
Η αλυσίδα έκανε κατάχρηση δύο συνηθισμένων χαρακτηριστικών ChatGPT που μεμονωμένα φαινόταν ακίνδυνα: ένα διαδραστικό γράφημα και το πλαίσιο δοκιμών προεπισκόπησης HTML. Η δυνατότητα Προεπισκόπησης του ChatGPT εκτελεί HTML που δημιουργείται σε ένα περιορισμένο πλαίσιο σε μια ξεχωριστή διεύθυνση ιστού, η οποία θα πρέπει να εμποδίσει την επαφή της συνδεδεμένης σελίδας chatgpt.com γύρω της.
Η ανακάλυψη προήλθε από το γράφημα, το οποίο φόρτωσε μια μαθηματική βιβλιοθήκη που ονομάζεται MathLive. Αυτή η βιβλιοθήκη εγκατέστησε ένα πρόγραμμα ακρόασης μηνυμάτων στην κύρια σελίδα ChatGPT για το πληκτρολόγιο οθόνης της, αλλά το Parameter Labs βρήκε ότι ο ακροατής αποδέχτηκε μηνύματα από οποιαδήποτε προέλευση χωρίς να επαληθεύσει τον αποστολέα. Ένας αποδεκτός τύπος μηνύματος θα μπορούσε να αντικαταστήσει τη διάταξη εικονικού πληκτρολογίου με HTML ελεγχόμενο από εισβολείς, το οποίο το MathLive στη συνέχεια εισήγαγε στην πραγματική σελίδα ChatGPT μέσω innerHTML.
Τα σενάρια που εισάγονται με αυτόν τον τρόπο δεν εκτελούνται συνήθως, έτσι οι ερευνητές τύλιξαν το ωφέλιμο φορτίο τους σε ένα iframe χρησιμοποιώντας το χαρακτηριστικό srcdoc. Επειδή η κύρια σελίδα ChatGPT δημιούργησε αυτό το πλαίσιο χωρίς sandbox, το πρόγραμμα περιήγησης αντιμετώπισε τον κώδικα μέσα σε αυτό ως αυθεντικό περιεχόμενο chatgpt.com με πρόσβαση στη γονική σελίδα.
Διαφυγή από την Πολιτική Ασφάλειας Περιεχομένου
Η Πολιτική Ασφάλειας Περιεχομένου του ChatGPT εξακολουθούσε να μπλοκάρει τα ενσωματωμένα σενάρια, αλλά το Parameter Labs βρήκε ένα κενό: η πολιτική επέτρεπε σενάρια από το YouTube. Οι ερευνητές ανακάλυψαν ότι το τελικό σημείο oEmbed του YouTube αντικατόπτριζε μια μη έγκυρη παράμετρο επιστροφής κλήσης JSONP στην απόκριση σφάλματος πριν από την επικύρωση, επιτρέποντάς τους να προβάλουν εκτελέσιμο JavaScript σε μια απάντηση που το πρόγραμμα περιήγησης θα φόρτωνε ευχαρίστως ως σενάριο.
Σε εκείνο το σημείο η ομάδα εκτελούσε αυθαίρετη JavaScript με την ταυτότητα του chatgpt.com μέσα στην συνδεδεμένη περίοδο σύνδεσης του θύματος. Το Parameter Labs ήταν ξεκάθαρο σχετικά με το τι σήμαινε αυτό στην πράξη: το ωφέλιμο φορτίο δεν περιοριζόταν στην τροποποίηση της σελίδας ή στην εμφάνιση μιας ειδοποίησης - μπορούσε να καλέσει απευθείας τα πιστοποιημένα API του ChatGPT ως θύμα. Κατά τη δοκιμή, το ωφέλιμο φορτίο μπορούσε να απαριθμήσει τη λίστα συνομιλιών του θύματος, να ανακτήσει τα περιεχόμενα ιδιωτικών συνομιλιών που δεν κοινοποιήθηκαν ποτέ με τον εισβολέα και να στείλει αυτά τα δεδομένα σε έναν εξωτερικό διακομιστή. Το πρόγραμμα περιήγησης εντόπισε κάθε ενέργεια ως προερχόμενη από το ίδιο το chatgpt.com, δίνοντας στο θύμα κανένα ορατό σήμα ότι κάτι δεν πήγαινε καλά.
Ένας σύνδεσμος ήταν αρκετός
Αυτό που μετέτρεψε ένα ερευνητικό σφάλμα σε πρακτικό όπλο ήταν η παράδοση. Οι ερευνητές έβαλαν το γράφημα και ένα μπλοκ HTML με δυνατότητα προεπισκόπησης σε μια συνηθισμένη συνομιλία, το δημοσίευσαν με τη λειτουργία κανονικής κοινής χρήσης του ChatGPT και έστειλαν τον σύνδεσμο /share/ που προέκυψε με τους ίδιους τρόπους που θα χρησιμοποιούσε οποιοσδήποτε: email, chat, εισιτήριο υποστήριξης ή μια ανάρτηση κοινωνικής δικτύωσης.
Στην πιο σταθερή αναπαραγωγή, το θύμα έπρεπε να κάνει κλικ στο κουμπί Προεπισκόπηση του ChatGPT μία φορά μετά το άνοιγμα του συνδέσμου. Μια μεταγενέστερη έκδοση επισήμανε το μπλοκ HTML ως με δυνατότητα προεπισκόπησης, επομένως το ChatGPT το άνοιξε αυτόματα και η μόνη απαιτούμενη ενέργεια του θύματος ήταν η επίσκεψη στη διεύθυνση URL. Η ομάδα αναπαρήγαγε αυτήν την πλήρως αυτόματη διαδρομή τρεις φορές σε ξεχωριστό λογαριασμό, μεταξύ άλλων μετά από μια σκληρή ανανέωση, με το ωφέλιμο φορτίο να ενεργοποιείται περίπου 4,5 δευτερόλεπτα μετά τη φόρτωση της σελίδας.
Επειδή το γράφημα και η προεπισκόπηση φορτώνονται ανεξάρτητα, το ωφέλιμο φορτίο μπορεί περιστασιακά να ενεργοποιείται πριν το MathLive είναι έτοιμο. Η τελική έκδοση δοκίμασε ξανά τα μηνύματά της για περιορισμένο χρονικό διάστημα για να χειριστεί αυτή την κατάσταση αγώνα.
Αποκάλυψη και επιδιόρθωση
Η Parameter Labs ανέφερε το πρόβλημα στο OpenAI, το οποίο έστειλε μια επιδιόρθωση στις 26 Οκτωβρίου και βαθμολόγησε την αναφορά P1. Η αποκάλυψη έρχεται εν μέσω μιας ευρύτερης σειράς έρευνας για την ασφάλεια της πλατφόρμας AI. νωρίτερα αυτή την εβδομάδα, το The Register ανέφερε σφάλματα σε πέντε εργαλεία προγραμματιστών AI, μερικά ακόμη που δεν έχουν επιδιορθωθεί κατά τη δημοσίευση.
Το μάθημα γενικεύεται πέρα από μια βιβλιοθήκη. Οι σύγχρονες εφαρμογές συνομιλίας συνθέτουν στοιχεία τρίτων, προεπισκοπήσεις σε περιβάλλον δοκιμών και επιτρεπτά κανάλια μηνυμάτων σε μία μόνο επαληθευμένη σελίδα και οποιοσδήποτε μη επαληθευμένος δέκτης postMessage μπορεί να γίνει η γέφυρα μεταξύ τους. Για τους χρήστες, η πρακτική καθοδήγηση είναι αμετάβλητη από την κλασική ασφάλεια ιστού: μεταχειριστείτε τους συνδέσμους σε κοινόχρηστες συνομιλίες τεχνητής νοημοσύνης όπως αντιμετωπίζετε οποιονδήποτε άλλο ανεπιθύμητο σύνδεσμο, επειδή η πλατφόρμα δεν μπορεί πλέον να υπόσχεται ότι το άνοιγμα ενός είναι αβλαβές.
Από την πλευρά της, η ταξινόμηση P1 του OpenAI και η γρήγορη ανάκαμψη υποδηλώνουν ότι η εταιρεία αντιμετωπίζει τις επιθέσεις περιόδου λειτουργίας που βασίζονται σε πρόγραμμα περιήγησης στο chatgpt.com ως απειλές πρώτης βαθμίδας. Το περιστατικό είναι επίσης μια υπενθύμιση για το πόση αξία συγκεντρώνεται σε αυτούς τους λογαριασμούς τώρα που οι χρήστες αποθηκεύουν έγγραφα εργασίας, ιατρικές ερωτήσεις και ιδιωτικά έργα στο ιστορικό συνομιλιών — ακριβώς το περιεχόμενο που απέδειξε ότι τα Εργαστήρια Parameters θα μπορούσαν να έχουν εξαγάγει ένας εισβολέας.
---
Μείνετε μπροστά από την τεχνητή νοημοσύνηΛάβετε τα τελευταία νέα, αναλύσεις και ανακαλύψεις AI — όλα σε ένα μέρος.
Διαβάστε περισσότερα νέα AI →
