Parameter Labs tarafından 28 Ekim'de yayınlanan teknik açıklamaya göre bir güvenlik araştırma ekibi, kurbanın paylaşılan bir konuşma bağlantısı açmasını sağlayarak herhangi bir ChatGPT hesabını ele geçirmenin bir yolunu buldu. Şirket, OpenAI'nin güvenlik açığını 26 Ekim'de düzelttiğini bildirdi ve raporu en yüksek önem derecesi olan P1 olarak sınıflandırdı.
Bu bulgu, ana akım yapay zeka platformuna karşı nadir görülen bir uçtan uca hesap devralma işlemidir ve en son yapay zeka gelişmelerinin insanların artık sohbet uygulamalarında ne kadar hassas materyal tuttuğunu göstermeye devam etmesiyle ortaya çıktı. Parameter Labs, saldırının hiçbir uygulama kurulumu, geliştirici aracı ve saldırganın paylaşılan ChatGPT URL'sini açmanın ötesinde herhangi bir etkileşim gerektirmediğini söyledi.
Saldırı Zinciri Nasıl Çalıştı?
Zincir, tek başına zararsız görünen iki sıradan ChatGPT özelliğini kötüye kullandı: etkileşimli bir grafik ve HTML Önizleme sanal alanı. ChatGPT'nin Önizleme özelliği, oluşturulan HTML'yi ayrı bir web adresindeki kısıtlı bir çerçevede çalıştırır; bu, oturum açmış olan chatgpt.com sayfasına dokunmasını önlemelidir.
Buluş, MathLive adlı bir matematik kütüphanesini yükleyen grafikten geldi. Bu kitaplık, ekran klavyesi için ana ChatGPT sayfasına bir mesaj dinleyicisi kurdu, ancak Parameter Labs, dinleyicinin göndereni doğrulamadan herhangi bir kaynaktan gelen mesajları kabul ettiğini buldu. Kabul edilen bir mesaj türü, sanal klavye düzenini, MathLive'ın daha sonra innerHTML aracılığıyla gerçek ChatGPT sayfasına eklediği saldırgan kontrollü HTML ile değiştirebilir.
Bu şekilde eklenen komut dosyaları normalde yürütülmez, bu nedenle araştırmacılar srcdoc özelliğini kullanarak yüklerini bir iframe'e sardılar. Ana ChatGPT sayfası bu çerçeveyi korumalı alan olmadan oluşturduğundan, tarayıcı içindeki kodu ana sayfaya erişimi olan orijinal chatgpt.com içeriği olarak değerlendirdi.
İçerik Güvenliği Politikasından Kaçış
ChatGPT'nin İçerik Güvenliği Politikası satır içi komut dosyalarını hâlâ engelliyordu ancak Parameter Labs bir boşluk buldu: Politika, YouTube'dan gelen komut dosyalarına izin veriyordu. Araştırmacılar, YouTube'un oEmbed uç noktasının, doğrulamadan önce hata yanıtına geçersiz bir JSONP geri çağırma parametresi yansıttığını ve bu sayede, tarayıcının mutlu bir şekilde komut dosyası olarak yükleyeceği bir yanıtın başına yürütülebilir JavaScript eklemelerine olanak tanıdığını keşfetti.
Bu noktada ekip, kurbanın oturum açtığı oturumda chatgpt.com'un kimliğiyle rastgele JavaScript çalıştırıyordu. Parameter Labs bunun pratikte ne anlama geldiğini açıkça ifade etti: yük, sayfayı değiştirmek veya bir uyarı görüntülemekle sınırlı değildi; kurban olarak doğrudan ChatGPT'nin kimliği doğrulanmış API'lerini arayabiliyordu. Test sırasında veri yükü, kurbanın konuşma listesini numaralandırabiliyor, saldırganla hiçbir zaman paylaşılmayan özel konuşmaların içeriğini alabiliyor ve bu verileri harici bir sunucuya gönderebiliyor. Tarayıcı, her eylemin chatgpt.com'dan geldiğini belirledi ve kurbana herhangi bir şeyin yanlış olduğuna dair gözle görülür bir sinyal vermedi.
Tek Bağlantı Yeterliydi
Bir araştırma hatasını pratik bir silaha dönüştüren şey teslimattı. Araştırmacılar grafiği ve önizlenebilir bir HTML bloğunu tek bir sıradan konuşmaya yerleştirdiler, bunu ChatGPT'nin normal paylaşım özelliğiyle yayınladılar ve ortaya çıkan /paylaş/ bağlantısını herkesin kullanacağı aynı yollardan gönderdiler: e-posta, sohbet, destek bildirimi veya sosyal paylaşım.
En istikrarlı çoğaltmada kurbanın bağlantıyı açtıktan sonra ChatGPT'nin Önizleme düğmesine bir kez tıklaması gerekiyordu. Daha sonraki bir sürüm, HTML bloğunu önizlenebilir olarak işaretledi, böylece ChatGPT onu otomatik olarak açtı ve kurbanın yapması gereken tek şey URL'yi ziyaret etmekti. Ekip, tam otomatik yolu, sayfa yüklendikten yaklaşık 4,5 saniye sonra yükün etkinleştiği zorlu bir yenileme sonrasında da dahil olmak üzere, ayrı bir hesapta üç kez yeniden oluşturdu.
Grafik ve önizleme bağımsız olarak yüklendiğinden, veri bazen MathLive hazır olmadan önce ateşlenebiliyordu. Son sürüm, bu yarış durumunu ele almak için sınırlı bir süre boyunca mesajlarını yeniden denedi.
Açıklama ve Düzeltme
Parameter Labs, sorunu 26 Ekim'de bir düzeltme gönderen ve raporu P1 olarak derecelendiren OpenAI'ye bildirdi. Açıklama, daha geniş kapsamlı bir yapay zeka platformu güvenlik araştırmasının ortasında geldi; Bu haftanın başlarında The Register, beş AI geliştirici aracında hatalar bildirdi; bunların bazıları yayın sırasında hâlâ yamalanmamış durumdaydı.
Ders bir kütüphanenin ötesine genellenir. Modern sohbet uygulamaları, kimliği doğrulanmış tek bir sayfada üçüncü taraf bileşenleri, korumalı alan önizlemelerini ve izin verilen mesaj kanallarını oluşturur ve doğrulanmamış herhangi bir postMessage alıcısı bunlar arasında köprü olabilir. Kullanıcılar için pratik rehberlik, klasik web güvenliğinden farklı değildir: Paylaşılan AI konuşmalarına olan bağlantılara, diğer istenmeyen bağlantılara davrandığınız gibi davranın, çünkü platform artık bir bağlantı açmanın zararsız olacağının sözünü veremez.
OpenAI'nin P1 sınıflandırması ve hızlı geri dönüşü, şirketin chatgpt.com'a yönelik tarayıcı tabanlı oturum saldırılarını birinci kademe tehditler olarak ele aldığını gösteriyor. Bu olay aynı zamanda, kullanıcıların iş belgelerini, tıbbi soruları ve özel projeleri sohbet geçmişinde sakladıkları artık bu hesaplarda ne kadar değer yoğunlaştığının da bir hatırlatıcısıdır; Parameter Labs'ın bir saldırganın çıkarabileceği içeriğin tam olarak bu olduğunu kanıtladı.
---
Yapay Zekanın Önünde OlunEn son AI haberlerini, analizlerini ve buluşlarını tek bir yerden alın.
Daha fazla AI haberini okuyun →
