Sebuah tim peneliti keamanan menemukan cara untuk mengambil alih akun ChatGPT hanya dengan meminta korban membuka tautan percakapan bersama, menurut pengungkapan teknis yang diterbitkan oleh Parameter Labs pada tanggal 28 Oktober. Perusahaan melaporkan bahwa OpenAI memperbaiki kerentanan pada tanggal 26 Oktober dan mengklasifikasikan laporan tersebut sebagai P1, peringkat tingkat keparahan tertinggi.
Temuan ini merupakan pengambilalihan akun end-to-end yang jarang terjadi terhadap platform AI arus utama, dan hal ini terjadi seiring dengan perkembangan AI terbaru yang terus menunjukkan seberapa banyak materi sensitif yang kini disimpan orang-orang di dalam aplikasi chat. Parameter Labs mengatakan serangan itu tidak memerlukan instalasi aplikasi, tidak ada alat pengembang, dan tidak ada interaksi selain membuka URL ChatGPT bersama milik penyerang.
Cara Kerja Rantai Serangan
Rantai tersebut menyalahgunakan dua fitur ChatGPT biasa yang tampak tidak berbahaya jika dipisahkan: grafik interaktif dan kotak pasir Pratinjau HTML. Fitur Pratinjau ChatGPT menjalankan HTML yang dihasilkan dalam bingkai terbatas pada alamat web terpisah, yang akan mencegahnya menyentuh halaman chatgpt.com yang sudah masuk di sekitarnya.
Terobosan datang dari grafik, yang memuat perpustakaan matematika bernama MathLive. Pustaka tersebut memasang pemroses pesan di halaman utama ChatGPT untuk keyboard di layarnya, namun Parameter Labs menemukan pemroses pesan menerima pesan dari asal mana pun tanpa memverifikasi pengirimnya. Salah satu jenis pesan yang diterima dapat menggantikan tata letak keyboard virtual dengan HTML yang dikendalikan penyerang, yang kemudian dimasukkan MathLive ke halaman ChatGPT sebenarnya melalui innerHTML.
Skrip yang disisipkan seperti itu biasanya tidak dijalankan, jadi para peneliti membungkus payload mereka dalam iframe menggunakan atribut srcdoc. Karena halaman utama ChatGPT membuat bingkai tersebut tanpa kotak pasir, browser memperlakukan kode di dalamnya sebagai konten chatgpt.com asli dengan akses ke halaman induk.
Menghindari Kebijakan Keamanan Konten
Kebijakan Keamanan Konten ChatGPT masih memblokir skrip inline, namun Parameter Labs menemukan celah: kebijakan tersebut mengizinkan skrip dari YouTube. Para peneliti menemukan bahwa titik akhir oEmbed YouTube mencerminkan parameter panggilan balik JSONP yang tidak valid ke dalam respons kesalahannya sebelum validasi, sehingga memungkinkan mereka menambahkan JavaScript yang dapat dieksekusi ke respons yang akan dengan senang hati dimuat oleh browser sebagai skrip.
Pada saat itu tim menjalankan JavaScript sewenang-wenang dengan identitas chatgpt.com di dalam sesi masuk korban. Parameter Labs secara eksplisit menjelaskan maksud dari hal ini dalam praktiknya: payload tidak terbatas pada memodifikasi halaman atau menampilkan peringatan — payload dapat secara langsung memanggil API ChatGPT yang diautentikasi sebagai korban. Dalam pengujian, payload dapat menghitung daftar percakapan korban, mengambil konten percakapan pribadi yang tidak pernah dibagikan dengan penyerang, dan mengirimkan data tersebut ke server eksternal. Browser mengidentifikasi setiap tindakan yang berasal dari chatgpt.com itu sendiri, sehingga korban tidak memberikan sinyal yang terlihat bahwa ada sesuatu yang salah.
Satu Tautan Sudah Cukup
Apa yang mengubah bug penelitian menjadi senjata praktis adalah penyampaiannya. Para peneliti menempatkan grafik dan blok HTML yang dapat dipratinjau ke dalam satu percakapan biasa, menerbitkannya dengan fitur berbagi normal ChatGPT, dan mengirimkan tautan /bagikan/ yang dihasilkan melalui rute yang sama yang biasa digunakan siapa pun: email, obrolan, tiket dukungan, atau pos sosial.
Dalam reproduksi paling stabil, korban harus mengklik tombol Pratinjau ChatGPT satu kali setelah membuka tautan. Versi yang lebih baru menandai blok HTML sebagai dapat dipratinjau, sehingga ChatGPT membukanya secara otomatis dan satu-satunya tindakan yang diperlukan korban adalah mengunjungi URL. Tim mereproduksi jalur yang sepenuhnya otomatis tersebut tiga kali dalam akun terpisah, termasuk setelah penyegaran paksa, dengan payload diaktifkan sekitar 4,5 detik setelah halaman dimuat.
Karena grafik dan pratinjau dimuat secara terpisah, payload terkadang dapat diaktifkan sebelum MathLive siap. Versi final mencoba ulang pesannya untuk jangka waktu terbatas untuk menangani kondisi balapan tersebut.
Pengungkapan dan Perbaikan
Parameter Labs melaporkan masalah ini ke OpenAI, yang mengirimkan perbaikan pada tanggal 26 Oktober dan memberi peringkat pada laporan P1. Pengungkapan ini terjadi di tengah penelitian keamanan platform AI yang lebih luas; awal pekan ini The Register melaporkan bug di lima alat pengembang AI, beberapa masih belum ditambal saat dipublikasikan.
Pelajaran ini menggeneralisasi lebih dari satu perpustakaan. Aplikasi obrolan modern menyusun komponen pihak ketiga, pratinjau sandbox, dan saluran pesan permisif dalam satu halaman yang diautentikasi, dan penerima postMessage yang tidak terverifikasi dapat menjadi jembatan di antara keduanya. Bagi pengguna, panduan praktisnya tidak berubah dari keamanan web klasik: perlakukan tautan ke percakapan AI bersama seperti Anda memperlakukan tautan lain yang tidak diminta, karena platform tidak lagi dapat menjanjikan bahwa membuka tautan tidak berbahaya.
Klasifikasi P1 OpenAI dan perputarannya yang cepat menunjukkan bahwa perusahaan memperlakukan serangan sesi berbasis browser di chatgpt.com sebagai ancaman tingkat pertama. Insiden ini juga mengingatkan betapa banyak nilai yang terkonsentrasi di akun-akun ini sekarang karena pengguna menyimpan dokumen kerja, pertanyaan medis, dan proyek pribadi dalam riwayat obrolan — persis seperti konten yang telah dibuktikan oleh Parameter Labs yang dapat diekstraksi oleh penyerang.
---
Tetap Terdepan dalam AIDapatkan berita, analisis, dan terobosan AI terkini — semuanya di satu tempat.
Baca berita AI selengkapnya →
