צוות מחקר אבטחה מצא דרך להשתלט על כל חשבון ChatGPT פשוט על ידי לגרום לקורבן לפתוח קישור שיחה משותף, על פי גילוי נאות טכני שפרסמה Parameter Labs ב-28 באוקטובר. החברה דיווחה ש-OpenAI תיקנה את הפגיעות ב-26 באוקטובר וסיווגה את הדוח כ-P1, דירוג החומרה הגבוה ביותר שלו.

הממצא הוא השתלטות נדירה של חשבון מקצה לקצה על פלטפורמת AI מיינסטרים, והוא נחת כאשר הפיתוחים האחרונים של AI ממשיכים להראות כמה חומר רגיש שאנשים שומרים כעת בתוך יישומי צ'אט. מעבדות פרמטר אמרו שהמתקפה לא דורשת התקנת אפליקציה, לא כלים למפתחים וללא אינטראקציה מעבר לפתיחת כתובת ה-ChatGPT המשותפת של התוקף.

איך פעלה שרשרת ההתקפה

הרשת ניצלה לרעה שתי תכונות ChatGPT רגילות שנראו בלתי מזיקות בבידוד: גרף אינטראקטיבי וארגז החול של HTML Preview. תכונת התצוגה המקדימה של ChatGPT מריצה HTML שנוצר במסגרת מוגבלת בכתובת אינטרנט נפרדת, מה שאמור למנוע ממנו לגעת בדף chatgpt.com המחובר סביבו.

פריצת הדרך הגיעה מהגרף, שטען ספריית מתמטיקה בשם MathLive. ספריה זו התקינה מאזין הודעות בדף ChatGPT הראשי עבור המקלדת על המסך שלה, אבל Parameter Labs מצאה שהמאזין קיבל הודעות מכל מקור מבלי לאמת את השולח. סוג הודעה מקובל אחד יכול להחליף את פריסת המקלדת הווירטואלית ב-HTML נשלט על ידי תוקף, שאותו MathLive הכניס לאחר מכן לדף ChatGPT האמיתי באמצעות innerHTML.

סקריפטים המוכנסים כך אינם פועלים בדרך כלל, ולכן החוקרים עטפו את המטען שלהם ב-iframe באמצעות התכונה srcdoc. מכיוון שדף ChatGPT הראשי יצר את המסגרת הזו ללא ארגז חול, הדפדפן התייחס לקוד שבתוכו כתוכן chatgpt.com אמיתי עם גישה לדף האב.

בריחה ממדיניות אבטחת התוכן

מדיניות אבטחת התוכן של ChatGPT עדיין חסמה סקריפטים מוטבעים, אבל Parameter Labs מצאה פער: המדיניות אפשרה סקריפטים מיוטיוב. החוקרים גילו שנקודת הקצה oEmbed של YouTube שיקפה פרמטר לא חוקי של התקשרות חוזרת של JSONP בתגובת השגיאה שלו לפני האימות, ונתנה להם להרכיב JavaScript בר הפעלה לתגובה שהדפדפן יטען בשמחה כסקריפט.

בשלב זה היה לצוות JavaScript שרירותי שרץ עם הזהות של chatgpt.com בתוך הפעלת הכניסה של הקורבן. Parameter Labs היה מפורש לגבי המשמעות של זה בפועל: המטען לא הוגבל לשינוי הדף או הצגת התראה - הוא יכול לקרוא ישירות לממשקי ה-API המאומתים של ChatGPT כקורבן. בבדיקה, המטען יכול למנות את רשימת השיחות של הקורבן, לאחזר את התוכן של שיחות פרטיות שמעולם לא שותפו עם התוקף, ולשלוח את הנתונים הללו לשרת חיצוני. הדפדפן זיהה כל פעולה כמגיעה מ-chatgpt.com עצמו, ולא נתן לקורבן שום אות גלוי שמשהו לא בסדר.

קישור אחד היה מספיק

מה שהפך באג מחקר לנשק מעשי היה מסירה. החוקרים הכניסו את הגרף ובלוק HTML שניתן לתצוגה מקדימה בשיחה אחת רגילה, פרסמו אותו עם תכונת השיתוף הרגילה של ChatGPT ושלחו את הקישור /share/ שהתקבל באותם מסלולים שכל אחד ישתמש בו: אימייל, צ'אט, כרטיס תמיכה או פוסט חברתי.

ברפרודוקציה היציבה ביותר, הקורבן היה צריך ללחוץ על כפתור התצוגה המקדימה של ChatGPT פעם אחת לאחר פתיחת הקישור. גרסה מאוחרת יותר סימנה את בלוק ה-HTML כניתן לתצוגה מקדימה, כך ש-ChatGPT פתח אותו באופן אוטומטי והפעולה היחידה הנדרשת של הקורבן הייתה ביקור בכתובת האתר. הצוות שיחזר את הנתיב האוטומטי המלא הזה שלוש פעמים בחשבון נפרד, כולל לאחר רענון קשה, כאשר המטען נדלק בערך 4.5 שניות לאחר טעינת הדף.

מכיוון שהגרף והתצוגה המקדימה נטענו באופן עצמאי, המטען יכול לירות מדי פעם לפני ש- MathLive היה מוכן. הגרסה הסופית ניסתה מחדש את הודעותיה לתקופה מוגבלת כדי לטפל במצב המירוץ הזה.

חשיפה ותיקון

מעבדות פרמטר דיווחו על הבעיה ל-OpenAI, ששלחה תיקון ב-26 באוקטובר ודירגה את הדוח P1. החשיפה מגיעה תוך ריצה רחבה יותר של מחקר אבטחת פלטפורמת AI; מוקדם יותר השבוע ה-Register דיווח על באגים בחמישה כלי מפתחי בינה מלאכותית, חלקם עדיין לא תוקנו בעת הפרסום.

השיעור מכליל מעבר לספרייה אחת. יישומי צ'אט מודרניים מרכיבים רכיבי צד שלישי, תצוגות מקדימות בארגז חול וערוצי הודעות מתירניים בדף מאומת יחיד, וכל מקלט פוסט לא מאומת יכול להפוך לגשר ביניהם. עבור המשתמשים, ההדרכה המעשית ללא שינוי מאבטחת אינטרנט קלאסית: התייחס לקישורים לשיחות AI משותפות כפי שאתה מתייחס לכל קישור לא רצוי אחר, מכיוון שהפלטפורמה כבר לא יכולה להבטיח שפתיחת אחד אינה מזיקה.

מצידו, סיווג P1 של OpenAI והתפנית המהירה מצביעים על כך שהחברה מתייחסת להתקפות הפעלה מבוססות דפדפן ב-chatgpt.com כאל איומים מהדרג הראשון. התקרית היא גם תזכורת לכמה ערך מתרכז בחשבונות הללו כעת, כאשר משתמשים מאחסנים מסמכי עבודה, שאלות רפואיות ופרויקטים פרטיים בהיסטוריית הצ'אט - בדיוק התוכן שמעבדות פרמטרים הוכיחו שתוקף יכול היה לחלץ.

---

הישאר לפני AI

קבל את החדשות, הניתוחים ופריצות הדרך האחרונות של AI - הכל במקום אחד.

קרא עוד חדשות AI →