Группа исследователей безопасности нашла способ завладеть любой учетной записью ChatGPT, просто заставив жертву открыть ссылку на общий разговор, согласно техническому раскрытию, опубликованному параметрами Labs 28 октября. Компания сообщила, что OpenAI устранила уязвимость 26 октября и классифицировала отчет как P1, что соответствует наивысшему уровню серьезности.

Это открытие представляет собой редкий случай сквозного захвата учетных записей основной платформы искусственного интеллекта, и оно произошло на фоне того, как [последние разработки искусственного интеллекта] (https://aibuzzwire.news) продолжают показывать, как много конфиденциальных материалов люди теперь хранят в приложениях чата. В компании «Parameter Labs» заявили, что атака не требовала ни установки приложения, ни инструментов разработчика, ни какого-либо взаимодействия, кроме открытия общего URL-адреса ChatGPT злоумышленника.

Как работала цепочка атак

Сеть злоупотребляла двумя обычными функциями ChatGPT, которые по отдельности выглядели безобидными: интерактивным графиком и песочницей HTML Preview. Функция предварительного просмотра ChatGPT запускает сгенерированный HTML-код в ограниченном фрейме на отдельном веб-адресе, что должно препятствовать тому, чтобы он касался страницы Chatgpt.com, на которой выполнен вход.

Прорыв произошел благодаря графу, который загрузил математическую библиотеку под названием MathLive. Эта библиотека установила прослушиватель сообщений на главной странице ChatGPT для своей экранной клавиатуры, но лаборатория параметров обнаружила, что прослушиватель принимает сообщения из любого источника без проверки отправителя. Один из принятых типов сообщений мог заменить раскладку виртуальной клавиатуры контролируемым злоумышленником HTML, который MathLive затем вставлял в реальную страницу ChatGPT через внутренний HTML.

Скрипты, вставленные таким образом, обычно не выполняются, поэтому исследователи поместили свою полезную нагрузку в iframe, используя атрибут srcdoc. Поскольку главная страница ChatGPT создала этот фрейм без песочницы, браузер воспринимал код внутри него как подлинный контент Chatgpt.com с доступом к родительской странице.

Выход из политики безопасности контента

Политика безопасности контента ChatGPT по-прежнему блокировала встроенные скрипты, но лаборатория параметров обнаружила пробел: политика разрешала скрипты с YouTube. Исследователи обнаружили, что конечная точка YouTube oEmbed отразила недопустимый параметр обратного вызова JSONP в своем ответе об ошибке перед проверкой, что позволило им добавить исполняемый код JavaScript к ответу, который браузер с радостью загрузил бы в виде сценария.

На тот момент у команды был произвольный JavaScript, запущенный с идентификатором Chatgpt.com внутри сеанса входа жертвы. Компания «Parameter Labs» четко объяснила, что это означает на практике: полезная нагрузка не ограничивалась изменением страницы или отображением оповещения — она могла напрямую вызывать аутентифицированные API ChatGPT в качестве жертвы. При тестировании полезная нагрузка могла перечислять список разговоров жертвы, получать содержимое частных разговоров, которые никогда не передавались злоумышленнику, и отправлять эти данные на внешний сервер. Браузер идентифицировал каждое действие как происходящее с самого сайтаchatgpt.com, не давая жертве видимого сигнала о том, что что-то не так.

Одной ссылки было достаточно

Что превратило исследовательскую ошибку в практическое оружие, так это доставка. Исследователи поместили график и блок HTML с возможностью предварительного просмотра в один обычный диалог, опубликовали его с помощью обычной функции обмена ChatGPT и отправили полученную ссылку /share/ теми же маршрутами, которые любой использовал бы: электронная почта, чат, запрос в службу поддержки или сообщение в социальной сети.

В наиболее стабильном воспроизведении жертве приходилось один раз нажать кнопку «Просмотр» ChatGPT после открытия ссылки. В более поздней версии блок HTML был помечен как доступный для предварительного просмотра, поэтому ChatGPT открывал его автоматически, и единственным необходимым действием жертвы было посещение URL-адреса. Команда воспроизвела этот полностью автоматический путь три раза в отдельной учетной записи, в том числе после принудительного обновления, при этом полезная нагрузка активировалась примерно через 4,5 секунды после загрузки страницы.

Поскольку график и предварительный просмотр загружались независимо, полезная нагрузка иногда могла сработать до того, как MathLive был готов. Окончательная версия повторяла свои сообщения в течение ограниченного периода времени, чтобы справиться с этим состоянием гонки.

Раскрытие информации и исправление

Компания «Parameter Labs» сообщила об этой проблеме в компанию OpenAI, которая 26 октября выпустила исправление и присвоила отчету рейтинг P1. Раскрытие информации произошло на фоне более широкого исследования безопасности платформ искусственного интеллекта; Ранее на этой неделе The Register сообщил об ошибках в пяти инструментах для разработчиков ИИ, некоторые из которых до сих пор не исправлены на момент публикации.

Урок выходит за рамки одной библиотеки. Современные чат-приложения объединяют сторонние компоненты, предварительные просмотры в песочнице и разрешительные каналы сообщений на одной аутентифицированной странице, и любой непроверенный получатель postMessage может стать мостом между ними. Для пользователей практическое руководство не отличается от классической веб-безопасности: относитесь к ссылкам на общие беседы ИИ так же, как к любой другой нежелательной ссылке, поскольку платформа больше не может обещать, что ее открытие безвредно.

В свою очередь, классификация OpenAI P1 и быстрое реагирование позволяют предположить, что компания рассматривает сеансовые атаки на основе браузера наchatgpt.com как угрозы первого уровня. Этот инцидент также является напоминанием о том, как много ценности концентрируется в этих учетных записях сейчас, когда пользователи хранят рабочие документы, медицинские вопросы и частные проекты в истории чатов — именно тот контент, который, как доказала компания «Parameter Labs», мог извлечь злоумышленник.

---

Будьте впереди ИИ

Получайте последние новости, анализ и открытия в области искусственного интеллекта — все в одном месте.

Подробнее новости AI →