طبق یک افشای فنی که توسط Parameter Labs در 28 اکتبر منتشر شد، یک تیم تحقیقاتی امنیتی راهی برای کنترل هر حساب ChatGPT به سادگی با واداشتن قربانی به باز کردن یک پیوند مکالمه مشترک پیدا کردند. این شرکت گزارش داد که OpenAI این آسیب‌پذیری را در 26 اکتبر برطرف کرد و گزارش را به عنوان P1 طبقه‌بندی کرد که بالاترین درجه شدت آن است.

این یافته یک تصاحب حساب سرتاسری نادر در برابر یک پلتفرم اصلی هوش مصنوعی است، و زمانی که [آخرین پیشرفت‌های هوش مصنوعی] (https://aibuzzwire.news) نشان می‌دهد که افراد در حال حاضر چقدر مطالب حساس را در برنامه‌های چت نگه می‌دارند، مشخص شد. Parameter Labs گفت که این حمله نیازی به نصب برنامه، ابزار توسعه‌دهنده و هیچ تعاملی فراتر از باز کردن URL ChatGPT مشترک مهاجم ندارد.

چگونه زنجیره حمله کار کرد

این زنجیره از دو ویژگی معمولی ChatGPT که به تنهایی بی ضرر به نظر می‌رسیدند سوء استفاده کرد: یک نمودار تعاملی و جعبه پیش نمایش HTML. ویژگی پیش‌نمایش ChatGPT HTML تولید شده را در یک قاب محدود در یک آدرس وب جداگانه اجرا می‌کند، که باید از لمس صفحه واردشده به chatgpt.com در اطراف آن جلوگیری کند.

این پیشرفت از نمودار حاصل شد که یک کتابخانه ریاضی به نام MathLive را بارگیری کرد. آن کتابخانه یک شنونده پیام را در صفحه اصلی ChatGPT برای صفحه کلید روی صفحه خود نصب کرد، اما Parameter Labs دریافت که شنونده پیام ها را از هر منبعی بدون تأیید فرستنده می پذیرد. یک نوع پیام پذیرفته شده می‌تواند طرح‌بندی صفحه‌کلید مجازی را با HTML کنترل‌شده توسط مهاجم جایگزین کند، که سپس MathLive آن را از طریق innerHTML در صفحه واقعی ChatGPT قرار داد.

اسکریپت های درج شده به این روش معمولا اجرا نمی شوند، بنابراین محققان با استفاده از ویژگی srcdoc، بار خود را در یک iframe پیچیده کردند. از آنجایی که صفحه اصلی ChatGPT آن قاب را بدون سندباکس ایجاد کرده است، مرورگر با کد داخل آن به عنوان محتوای واقعی chatgpt.com با دسترسی به صفحه اصلی برخورد می‌کند.

فرار از سیاست امنیتی محتوا

خط‌مشی امنیت محتوای ChatGPT همچنان اسکریپت‌های درون خطی را مسدود می‌کند، اما Parameter Labs یک شکاف پیدا کرد: این خط‌مشی اجازه می‌داد اسکریپت‌ها از YouTube استفاده شود. محققان دریافتند که نقطه پایانی oEmbed یوتیوب، قبل از اعتبارسنجی، یک پارامتر پاسخ به فراخوان JSONP نامعتبر را در پاسخ خطای خود منعکس می‌کند، و به آنها اجازه می‌دهد تا جاوا اسکریپت اجرایی را به پاسخی که مرورگر با خوشحالی به عنوان یک اسکریپت بارگذاری می‌کند، اضافه کنند.

در آن مرحله، تیم جاوا اسکریپت دلخواه را با هویت chatgpt.com در داخل جلسه ورود قربانی اجرا می کرد. Parameter Labs در مورد معنای آن در عمل صریح بود: بارگذاری به اصلاح صفحه یا نمایش یک هشدار محدود نمی شد - می توانست مستقیماً APIهای تأیید شده ChatGPT را به عنوان قربانی فراخوانی کند. در آزمایش، payload می‌تواند فهرست مکالمات قربانی را برشمرد، محتویات مکالمات خصوصی را که هرگز با مهاجم به اشتراک گذاشته نشده است، بازیابی کند و آن داده‌ها را به یک سرور خارجی ارسال کند. مرورگر هر اقدامی را که از خود chatgpt.com انجام می‌شود شناسایی می‌کرد و به قربانی سیگنال قابل مشاهده‌ای مبنی بر اشتباه بودن چیزی نمی‌داد.

یک لینک کافی بود

چیزی که یک اشکال تحقیقاتی را به یک سلاح عملی تبدیل کرد، تحویل بود. محققان نمودار و یک بلوک HTML قابل پیش‌نمایش را در یک مکالمه معمولی قرار دادند، آن را با ویژگی اشتراک‌گذاری معمولی ChatGPT منتشر کردند و پیوند /share/ حاصل را از همان مسیرهایی که هر کسی استفاده می‌کرد ارسال کرد: ایمیل، چت، بلیط پشتیبانی یا یک پست اجتماعی.

در پایدارترین بازتولید، قربانی باید پس از باز کردن پیوند، یک بار روی دکمه پیش‌نمایش ChatGPT کلیک می‌کرد. نسخه بعدی بلوک HTML را به‌عنوان قابل پیش‌نمایش علامت‌گذاری کرد، بنابراین ChatGPT آن را به‌طور خودکار باز کرد و تنها اقدام مورد نیاز قربانی بازدید از URL بود. تیم این مسیر کاملا خودکار را سه بار در یک حساب جداگانه، از جمله پس از یک به‌روزرسانی سخت، با بارگیری تقریباً 4.5 ثانیه پس از بارگیری صفحه، بازتولید کرد.

از آنجایی که نمودار و پیش‌نمایش به‌طور مستقل بارگیری می‌شوند، محموله ممکن است گهگاه قبل از آماده شدن MathLive فعال شود. نسخه نهایی پیام های خود را برای مدت محدودی برای رسیدگی به آن شرایط مسابقه دوباره امتحان کرد.

افشا و رفع

Parameter Labs این مشکل را به OpenAI گزارش داد، که در 26 اکتبر اصلاحیه‌ای را ارسال کرد و به گزارش رتبه‌بندی P1 داد. این افشاگری در بحبوحه تحقیقات امنیتی پلتفرم هوش مصنوعی به دست می آید. در اوایل این هفته، The Register باگ‌هایی را در پنج ابزار توسعه‌دهنده هوش مصنوعی گزارش کرد که برخی هنوز در زمان انتشار اصلاح نشده‌اند.

درس فراتر از یک کتابخانه تعمیم می یابد. برنامه‌های چت مدرن مؤلفه‌های شخص ثالث، پیش‌نمایش‌های sandbox و کانال‌های پیام مجاز را در یک صفحه تأیید شده واحد می‌سازند و هر گیرنده پیام تأیید نشده می‌تواند به پل ارتباطی بین آنها تبدیل شود. برای کاربران، دستورالعمل‌های عملی نسبت به امنیت وب کلاسیک تغییری نکرده است: با پیوندها به مکالمات هوش مصنوعی به‌صورتی رفتار کنید که با هر پیوند ناخواسته دیگری رفتار می‌کنید، زیرا پلتفرم دیگر نمی‌تواند قول دهد که باز کردن آن بی‌ضرر است.

به نوبه خود، طبقه بندی P1 OpenAI و چرخش سریع نشان می دهد که این شرکت حملات جلسات مبتنی بر مرورگر در chatgpt.com را به عنوان تهدیدهای سطح اول تلقی می کند. این رویداد همچنین یادآور این است که اکنون که کاربران اسناد کاری، سوالات پزشکی و پروژه های خصوصی را در تاریخچه چت ذخیره می کنند، چقدر ارزش در این حساب ها متمرکز شده است - دقیقاً محتوایی که آزمایشگاه پارامترها ثابت کرده است که مهاجم می تواند استخراج کند.

---

از هوش مصنوعی جلوتر بمانید

آخرین اخبار، تحلیل ها و پیشرفت های هوش مصنوعی را دریافت کنید - همه در یک مکان.

بیشتر بخوانید اخبار هوش مصنوعی →