Pasukan penyelidik keselamatan menemui cara untuk mengambil alih mana-mana akaun ChatGPT hanya dengan meminta mangsa membuka pautan perbualan yang dikongsi, menurut pendedahan teknikal yang diterbitkan oleh Parameter Labs pada 28 Oktober. Syarikat itu melaporkan bahawa OpenAI menetapkan kelemahan itu pada 26 Oktober dan mengklasifikasikan laporan itu sebagai P1, penarafan keterukan tertingginya.
Penemuan ini adalah pengambilalihan akaun hujung ke hujung yang jarang berlaku terhadap platform AI arus perdana, dan ia mendarat apabila perkembangan AI terkini terus menunjukkan betapa banyak bahan sensitif yang disimpan orang sekarang dalam aplikasi sembang. Parameter Labs berkata serangan itu tidak memerlukan pemasangan apl, tiada alat pembangun dan tiada interaksi selain membuka URL ChatGPT kongsi penyerang.
Bagaimana Rantaian Serangan Berfungsi
Rantaian itu menyalahgunakan dua ciri ChatGPT biasa yang kelihatan tidak berbahaya secara berasingan: graf interaktif dan kotak pasir Pratonton HTML. Ciri Pratonton ChatGPT menjalankan HTML yang dijana dalam bingkai terhad pada alamat web yang berasingan, yang sepatutnya menghalangnya daripada menyentuh halaman chatgpt.com yang dilog masuk di sekelilingnya.
Kejayaan itu datang daripada graf, yang memuatkan perpustakaan matematik yang dipanggil MathLive. Pustaka itu memasang pendengar mesej dalam halaman ChatGPT utama untuk papan kekunci pada skrinnya, tetapi Makmal Parameter mendapati pendengar menerima mesej dari mana-mana asal tanpa mengesahkan pengirim. Satu jenis mesej yang diterima boleh menggantikan reka letak papan kekunci maya dengan HTML dikawal penyerang, yang kemudiannya dimasukkan oleh MathLive ke dalam halaman ChatGPT sebenar melalui innerHTML.
Skrip yang dimasukkan seperti itu biasanya tidak dilaksanakan, jadi penyelidik membungkus muatan mereka dalam iframe menggunakan atribut srcdoc. Oleh kerana halaman ChatGPT utama mencipta bingkai itu tanpa kotak pasir, penyemak imbas menganggap kod di dalamnya sebagai kandungan chatgpt.com tulen dengan akses kepada halaman induk.
Melarikan diri daripada Dasar Keselamatan Kandungan
Dasar Keselamatan Kandungan ChatGPT masih menyekat skrip sebaris, tetapi Makmal Parameter menemui jurang: dasar itu membenarkan skrip daripada YouTube. Para penyelidik mendapati bahawa titik akhir oEmbed YouTube mencerminkan parameter panggil balik JSONP yang tidak sah ke dalam respons ralatnya sebelum pengesahan, membenarkan mereka menyediakan JavaScript boleh laku untuk respons yang akan dimuatkan dengan senang hati oleh penyemak imbas sebagai skrip.
Pada ketika itu pasukan telah menjalankan JavaScript sewenang-wenangnya dengan identiti chatgpt.com dalam sesi log masuk mangsa. Makmal Parameter adalah eksplisit tentang maksudnya dalam amalan: muatan tidak terhad kepada mengubah suai halaman atau memaparkan makluman — ia boleh secara langsung memanggil API yang disahkan ChatGPT sebagai mangsa. Dalam ujian, muatan boleh menghitung senarai perbualan mangsa, mendapatkan semula kandungan perbualan peribadi yang tidak pernah dikongsi dengan penyerang dan menghantar data tersebut ke pelayan luaran. Penyemak imbas mengenal pasti setiap tindakan sebagai datang daripada chatgpt.com sendiri, memberikan mangsa tiada isyarat yang boleh dilihat bahawa ada apa-apa yang salah.
Satu Pautan Sudah Cukup
Apa yang menjadikan pepijat penyelidikan menjadi senjata praktikal ialah penghantaran. Para penyelidik meletakkan graf dan blok HTML boleh pratonton ke dalam satu perbualan biasa, menerbitkannya dengan ciri perkongsian biasa ChatGPT, dan menghantar pautan /kongsi/ yang terhasil melalui laluan yang sama yang akan digunakan oleh sesiapa sahaja: e-mel, sembang, tiket sokongan atau siaran sosial.
Dalam pembiakan yang paling stabil, mangsa terpaksa mengklik butang Pratonton ChatGPT sekali selepas membuka pautan. Versi kemudian menandakan blok HTML sebagai boleh dipratonton, jadi ChatGPT membukanya secara automatik dan satu-satunya tindakan yang diperlukan mangsa ialah melawati URL. Pasukan menghasilkan semula laluan automatik sepenuhnya itu tiga kali dalam akaun berasingan, termasuk selepas muat semula keras, dengan muatan menyala kira-kira 4.5 saat selepas halaman dimuatkan.
Oleh kerana graf dan pratonton dimuatkan secara berasingan, muatan kadangkala boleh menyala sebelum MathLive sedia. Versi terakhir mencuba semula mesejnya untuk tempoh terhad untuk mengendalikan keadaan perlumbaan itu.
Pendedahan dan Pembetulan
Parameter Labs melaporkan isu ini kepada OpenAI, yang menghantar pembetulan pada 26 Oktober dan menilai laporan itu P1. Pendedahan itu tiba di tengah-tengah penyelidikan keselamatan platform AI yang lebih luas; awal minggu ini The Register melaporkan pepijat dalam lima alat pembangun AI, beberapa masih belum ditambal semasa penerbitan.
Pelajaran digeneralisasikan di luar satu perpustakaan. Aplikasi sembang moden mengarang komponen pihak ketiga, pratonton kotak pasir dan saluran mesej permisif dalam satu halaman yang disahkan, dan mana-mana penerima postMessage yang tidak disahkan boleh menjadi jambatan antara mereka. Bagi pengguna, panduan praktikal tidak berubah daripada keselamatan web klasik: layan pautan ke perbualan AI yang dikongsi seperti cara anda mengendalikan pautan lain yang tidak diminta, kerana platform tidak lagi boleh menjanjikan bahawa membukanya tidak berbahaya.
Bagi pihaknya, klasifikasi P1 OpenAI dan pemulihan pantas mencadangkan syarikat itu menganggap serangan sesi berasaskan pelayar pada chatgpt.com sebagai ancaman peringkat pertama. Insiden itu juga merupakan peringatan tentang berapa banyak nilai tertumpu dalam akaun ini sekarang bahawa pengguna menyimpan dokumen kerja, soalan perubatan dan projek persendirian dalam sejarah sembang — betul-betul kandungan Parameter Labs yang terbukti boleh diekstrak oleh penyerang.
---
Kekal Mendahului AIDapatkan berita, analisis dan penemuan terkini AI — semuanya di satu tempat.
Baca lebih banyak berita AI →
