Изследователи от компанията за сигурност Parameter са открили уязвимост в ChatGPT, при която един-единствен споделен разговор е можел да изпълни чужд код в браузъра на всеки влязъл потребител, който го отвори, и да прочете частните му чатове. OpenAI поправи пробива на 26 октомври, осем дни след сигнала, а подробностите излязоха едва сега – и показват колко уязвима може да бъде функция, която милиони хора използват всеки ден, без да се замислят.
Накратко
- Атаката започваше с обикновен споделен разговор в chatgpt.com и в последната си версия не изискваше нито едно кликване.
- OpenAI оцени проблема като P1 – най-високата си степен – и плати 5000 долара награда.
- Няма данни за реални атаки, а поправката е на сървърите, така че потребителите не трябва да обновяват нищо.
Как споделеният чат се превръщаше в капан
Изследователят Мукул Гоял от Parameter описва в техническия си доклад верига от три слаби места, всяко от които само по себе си изглежда безобидно. Подготвеният разговор съдържаше интерактивна графика и блок с HTML преглед (Preview) – две функции, които ChatGPT показва директно в чата.
За да начертае графиката, страницата зареждаше библиотеката MathLive, която се използва за математически формули. Тя оставяше отворен „слушател“ за съобщения, който приемаше настройки за клавиатурна подредба от всеки подател, без да проверява откъде идват. В тези съобщения можеше да има суров HTML код.
Самият HTML преглед работи в изолирана среда (sandbox), но може да праща съобщения към основната страница. Именно оттам изследователите подаваха своя HTML към MathLive, който изграждаше нов, вече неизолиран прозорец. Браузърът го приемаше като част от chatgpt.com, с всички права на влезлия потребител. Последната брънка беше политиката за сигурност на сайта: тя блокираше вградените скриптове, но разрешаваше скриптове от домейн на YouTube, и кодът идваше точно оттам.
Какво реално е можел да види нападателят
В най-надеждния вариант жертвата трябваше да отвори линка и веднъж да натисне бутона Preview. По-късно Parameter накара прегледа да се отваря сам, така че отварянето на линка стигаше. Не беше нужно да инсталирате нещо, да влизате в чуждо работно пространство или да въвеждате парола.
Тестовият код директно извикваше вътрешните програмни интерфейси на ChatGPT от името на потребителя. Той изброи последните му разговори, отвори частен чат, който никога не е бил споделян, и изпрати част от него към сървър на изследователите. Всичко това е проведено между техни собствени тестови акаунти, не срещу реални хора.
„По същество можехме да извършим всяко действие от името на акаунта в ChatGPT на жертвата.“
Parameter, в доклада си за уязвимостта
Изследователите не са показали трайно превземане на акаунта – смяна на парола или заключване на собственика. Рискът беше в достъпа до съдържанието на разговорите, докато сесията е активна. За хората, които обсъждат с чатбота здраве, финанси или работни документи, това е достатъчно сериозно.
Осем дни от сигнала до поправката
Сигналът е подаден през програмата на OpenAI за награди за открити грешки. Ето как се развива случаят според хронологията на Parameter, потвърдена и от The Hacker News:
| Дата | Какво се случва |
|---|---|
| 13–17 октомври | Parameter потвърждава веригата в реалния ChatGPT, включително автоматичното отваряне на прегледа |
| 18 октомври | Докладът е изпратен на OpenAI |
| 21 октомври | OpenAI възпроизвежда проблема и вдига оценката от P2 на P1 |
| 22–23 октомври | Единият уеб интерфейс е поправен, промени в политиката за сигурност блокират част от веригата |
| 26 октомври | И двата интерфейса отхвърлят опасните съобщения, проблемът е затворен |
| 28 октомври | Parameter публикува техническите подробности |
Наградата от 5000 долара е скромна на фона на оценката P1, но OpenAI реагира бързо. Защитата е разгърната на сървърите на компанията, затова не е нужно да обновявате приложение или да сменяте парола. По данни на испанското издание Escudo Digital и The Hacker News няма потвърдени случаи, в които уязвимостта да е използвана срещу истински потребители.
Линк от chatgpt.com вече не е гаранция
Най-неприятното в случая е, че капанът идваше от самия официален домейн. Повечето съвети срещу фишинг казват „проверете адреса“, а тук адресът си беше chatgpt.com. Такъв линк лесно се изпраща по имейл, във Viber, в коментар или в тикет към поддръжка.
Конкретната дупка е затворена, но няколко навика намаляват риска и от следващата:
- Не отваряйте споделени разговори от непознати, докато сте влезли в акаунта си. Ако все пак ви трябват, отворете ги в частен прозорец на браузъра, където не сте влезли.
- Прегледайте собствените си споделени връзки. В настройките на ChatGPT, в раздела за контрол на данните, има списък на всички споделени разговори, откъдето можете да изтриете старите.
- Не поставяйте в чатбота пароли, номера на карти и медицински документи, които не бихте искали да изтекат.
- Ако чатовете ви са чувствителни, използвайте функциите, които OpenAI вече предлага, като заключването на разговори с ПИН, и настройките за поверителност в ChatGPT и Gemini.
Нашата преценка: случаят е добър пример за отговорно разкриване – пробивът е открит от изследователи, поправен е бързо и е описан публично. Но той идва малко след като стана ясно, че служители на OpenAI години наред са предупреждавали за пропуски в сигурността. Колкото повече функции добавя ChatGPT – графики, прегледи на код, връзки към поща и календар, – толкова повече врати се отварят. Всички новини около чатбота следим в нашия хъб за ChatGPT, а други случаи с рискове от изкуствения интелект – в рубриката AI рискове.
