پژوهشگران امنیت سایبری از کشف یک آسیب پذیری جدی در ChatGPT خبر داده اند که میتوانست به مهاجمان اجازه دهد تنها با ارسال یک لینک اشتراک گذاری شده، کد مخرب خود را در سشن کاربری قربانی اجرا کنند و به چت های خصوصی ان ها دسترسی پیدا کنند.
بر اساس گزارشی که در ۳۱ اکتبر ۲۰۲۶ منتشر کرده، این آسیب پذیری توسط محققان شرکت امنیت سایبری Parameter شناسایی شده و از طریق برنامه باگ بانتی OpenAI گزارش شده است. OpenAI پس از بررسی، مشکل را با درجه شدت P1 طبقه بندی و برطرف کرده است.
چگونه یک لینک معمولی به ابزار سرقت اطلاعات تبدیل می شد؟
نکته نگران کننده این آسیب پذیری آن بود که مهاجم برای اجرای حمله نیازی به نصب بدافزار روی سیستم قربانی یا دریافت اطلاعات ورود او نداشت و مهاجم میتوانست یک مکالمه مخرب در ChatGPT ایجاد کند و آن را از طریق لینک عمومی اشتراک گذاری در اختیار قربانی قرار دهد و این لینک میتوانست از طریق ایمیل، پیامرسان ها، شبکه های اجتماعی یا حتی تیکت های پشتیبانی ارسال شود.
در نسخه اولیه حمله، قربانی پس از باز کردن لینک کافی بود یک بار روی گزینه Preview کلیک کند و در نسخه پیشرفته تر، پژوهشگران موفق شدند فرایند Preview را بصورت خودکار اجرا کنند،پس بنابراین باز کردن لینک به تنهایی برای فعال شدن زنجیره حمله کافی بود.
سازوکار فنی آسیب پذیری ChatGPT چه بود؟
این حمله از ترکیب چند قابلیت ظاهراً مستقل در ChatGPT سوء استفاده میکرد. محققان Parameter متوجه شدند که قابلیت Preview برای نمایش محتوای HTML در یک محیط ایزوله اجرا می شود و این محیط بصورت پیشفرض اجازه دسترسی مستقیم به صفحه اصلی ChatGPT را نداشت.
با این حال، مشکل از ترکیب این قابلیت با سیستم نمایش نمودار های تعاملی و کتابخانه MathLive به وجود آمد و زنجیره حمله به این صورت عمل می کرد:
- ایجاد محتوای مخرب: مهاجم یک مکالمه عمومی شامل نمودار تعاملی و محتوای HTML ایجاد می کرد.
- فعالسازی MathLive: بارگذاری نمودار باعث اجرای کتابخانه MathLive در صفحه اصلی ChatGPT می شد.
- سوء استفاده از ارتباط بین فریم ها: یک شنونده پیام در MathLive پیام های دریافتی را بدون بررسی معتبر بودن مبدأ ارسال کننده می پذیرفت.
- تزریق HTML: مهاجم از این ضعف برای انتقال محتوای HTML کنترل شده به صفحه اصلی استفاده میکرد.
- اجرای کد در نشست کاربر: یک فریم جدید با هویت دامنه اصلی ChatGPT ایجاد میشد و امکان اجرای کد در بستر نشست احراز هویت شده فراهم می شد.
- در مرحله نهایی، مهاجمان آزمایشی از یک اسکریپت بارگذاری شده از YouTube نیز استفاده کردند تا محدودیت های سیاست امنیت محتوای مرورگر (Content Security Policy یا CSP) را دور بزنند.
مهاجمان به چه اطلاعاتی دسترسی پیدا می کردند؟
- فهرست مکالمات اخیر حساب کاربری را استخراج کند.
- یک مکالمه خصوصی را که قبلاً با مهاجم به اشتراک گذاشته نشده بود، باز کند.
- بخشی از محتوای مکالمه خصوصی را به سرور تحت کنترل محققان ارسال کند.
- از API های احراز هویت شده ChatGPT برای دسترسی به اطلاعات استفاده کند.
پژوهشگران اعلام کردند که اجرای کد در بستر دامنه اصلی ChatGPT میتوانست دامنه دسترسی مهاجم را فراتر از خواندن مکالمات گسترش دهد. همچنین Parameter اعلام کرده است که این آزمایش در محیط کنترلشده انجام شده و شواهدی از استفاده واقعی مهاجمان از این آسیب پذیری علیه کاربران عمومی ارائه نشده است.
توصیه های امنیتی آتنا
این اتفاق بار دیگر نشان میدهد که حتی قابلیت های بظاهر ساده ای مانند اشتراک گذاری چت ها، نمایش محتوای HTML و نمودار های تعاملی میتوانند در صورت پیاده سازی نادرست، به مسیر نفوذ امنیتی تبدیل شوند. سازمان هایی که از ابزارهای هوش مصنوعی در فرایندهای کاری خود استفاده می کنند، بهتر است چند اصل امنیتی را جدی بگیرند:
- لینکهای اشتراک گذاری شده از منابع ناشناس را بدون بررسی باز نکنید.
- برای ارتباط بین تب های مرورگر، اعتبارسنجی دقیق مبدأ پیام ها (Origin Validation) را پیاده سازی کنید.
- از قرار دادن HTML کنترل شده توسط کاربر در بخش های مورد اعتماد برنامه جلوگیری کنید.
- سیاست های Content Security Policy را بعنوان یکی از لایه های دفاعی در نظر بگیرید، نه تنها سد امنیتی.
- قابلیت های Preview و محتوای تعاملی را از نظر آسیب پذیری های XSS و سواستفاده از ارتباط بین تب ها آزمایش کنید.
- برای سرویس های هوش مصنوعی سازمانی، دسترسی کاربران و مجوزهای API را به حداقل سطح موردنیاز محدود کنید.
جمع بندی:
این آسیب پذیری نشان داد که امنیت پلتفرم های هوش مصنوعی تنها به محافظت از مدل یا زیرساخت پردازش آن محدود نمی شود. رابط کاربری، کتابخانه های جانبی، مدیریت سشن های احراز هویت و نحوه تبادل داده بین اجزای مختلف نیز میتوانند به نقاط حساس امنیتی تبدیل شوند.