Критична вразливість у ChatGPT дозволила викрадати особисті розмови користувачів
Уявіть собі: один клік на звичайне посилання, яке здається безпечним, — і зловмисник уже отримує доступ до вашої персональної переписки в ChatGPT. Саме таку можливість відкрила серйозна уразливість у веб-платформі популярного чат-бота.
Як відбувався напад і чому це було так просто?
Немає потреби вгадувати паролі або виконувати складні операції — достатньо було просто переконати користувача перейти за посиланням на, здавалося б, просту спільну розмову. Як тільки жертва відкрила це посилання, у фоновому режимі починав працювати шкідливий код, який безперешкодно:
- брав під контроль активну сесію;
- отримував доступ до приватної історії чатів;
- відправляв зібрані дані на зовнішній сервер зловмисників.
Де знайшлася пролом і як вона працювала?
Прихована проблема крилась у взаємодії двох елементів ChatGPT:
- переглядач HTML-коду;
- бібліотека MathLive, що відповідає за математичне введення.
Зазвичай переглядач працює у спеціальній ізольованій області (sandbox), щоб завадити потенційно небезпечному коду впливати на основну сторінку. Та ось бібліотека MathLive тримала “слухача”, що розпізнавав сигнали для включення віртуальної клавіатури, але не перевіряла джерело повідомлень достатньо ретельно.
Це і стало лазівкою: зловмисний код скористався цією прогалиною, щоб передати інструкції основному сайту та ввести у інтерфейс штучного інтелекту свій небезпечний HTML-код.
Як було обійдено захист браузера і політики безпеки ChatGPT?
Команда дослідників з компанії Parameter застосувала хитру технічну комбінацію:
- створили плаваюче вікно (iframe), яке отримало ідентичність і максимальні дозволи ChatGPT;
- вирішили використовувати легітимну точку підключення від YouTube — одне з джерел, яким платформа довіряє беззаперечно, щоб обійти фільтри.
Саме так по ланцюжку з кількох прорахунків і трикстерських рішень виникла повністю автоматизована атака. Під час демонстрації довжиною у лічені секунди жертва лише натиснула на посилання, після чого шкідливий переглядач миттєво активувався.
Вже за 4,5 секунди скрипт досліджував внутрішні API OpenAI, вилучаючи приватні бесіди користувача і непомітно відправляючи їх через запити на зображення.
Визнання та компенсація для відкривача вразливості
Проблему виявив 18 жовтня дослідник Мукул Гоял із компанії Parameter. Після підтвердження реальності загрози та присвоєння найвищої пріоритетності P1, OpenAI вже 26 жовтня виправила цей дефект на своїх серверах.
Як знак вдячності, команді дослідників виплатили винагороду у розмірі $5000.
Оскільки оновлення було внесене безпосередньо в хмарну платформу, власникам акаунтів не довелося виконувати жодних дій — проблема була усунена автоматично.
