Paylaşılan ChatGPT Bağlantısı Oturumunuzda Saldırgan Kodu Çalıştırıp Özel Sohbetleri Okuyabilir

Görsel Kaynağı: The Hacker News

Yetkili olmayan bir ChatGPT paylaşım bağlantısı, açan herkesin giriş yaptığı oturumda saldırganın kodunu çalıştırarak özel sohbetlerini okuyabilmesine olanak tanıyor; güvenlik şirketi Parameter araştırmacıları bu uyarıyı yaptı.

Araştırmacılar açığı, 18 Ekim’de OpenAI’nin hata ödülü programı üzerinden bildirdi ve OpenAI sekiz gün sonra sorunu gidererek en ciddi kategori sayılan P1 puanını verdi.

Tuzak, halka açık bağlantısı üzerinden paylaşılan sıradan bir ChatGPT sohbetiydi. Gerçek bir paylaşım sohbeti gibi gönderilebilirdi: e-posta, sohbet mesajı, destek talebi veya sosyal medya paylaşımı yoluyla.

Kurbanın bir şey kurması, bir çalışma alanına katılması veya saldırgan aracılığıyla giriş yapması gerekmiyordu. Saldırının en güvenilir sürümünde bağlantıyı açıp tek bir kez ChatGPT’nin Önizleme düğmesine tıklamaları yeterliydi. Daha sonraki sürümde Parameter, sayfanın önizlemeyi kendiliğinden açmasını sağladı; böylece tek gereken adım bağlantıyı açmaktı.

Saldırgan Ne Yapabilirdi

Bağlantı açıldığında, saldırganın kodu kurbanın giriş yaptığı oturumda, gerçek ChatGPT sitesinin sahip olduğu erişimle çalıştı. Kurbanın güncel sohbetlerini listeledi, saldırgana daha önce paylaşılmamış özel bir sohbeti açtı ve onun küçük bir bölümünü araştırmacıların kontrolündeki bir sunucuya gönderdi.

Kod, ekranda ne görünüyorsa kopyalamak yerine ChatGPT’nin kendi giriş yapmış API’larına doğrudan erişti. Kurbanın tam web erişimiyle çalıştığı için ulaşabileceği alan bu sohbetlerle sınırlı değildi. “Temel olarak, kurbanın ChatGPT hesabı adına herhangi bir işlem gerçekleştirebilirdik” araştırmacılar yazdı.

İşlem kontrollü bir testti. Parameter, açığın gerçek dünyada kullanıldığına dair bir bildirimde bulunmuyor ve özel-sohbet kanıtını gerçek kullanıcılara karşı değil, ayrı hesaplar arasında çalıştırarak yürüttü.

Bağlantı Kumanda Ortamından Nasıl Çıktı

Zincirin nasıl işlediğine göre Parameter, ChatGPT’nin Preview adlı bir özellik aracılığıyla sohbet içindeki bir HTML bloğunu küçük bir web sayfasına dönüştürebildiğini açıklıyor. Bu sayfa herhangi bir kod taşıyabildiği için ChatGPT, onu ayrı bir web adresinde, ana ChatGPT sayfasını okuyameyeceği şekilde kilitli bir çerçeve içinde çalıştırıyor.

Sandbox bu şekilde korundu. Giriş yolu, aynı sobet içindeki ikinci bir özellikten geldi.

Paylaşılan sohbette etkileşimli bir grafik de vardı ve onu çizmek, MathLive adlı bir matematik kütüphanesini ana ChatGPT sayfasına yükledi. MathLive’ın yüklenmesiyle, ekran klavyesine ilişkin mesajları kabul eden bir dinleyici orada çalışır durumda kaldı.

Tarayıcı çerçeveleri arasında aktarılan bir mesaj, ancak alıcı göndereni doğruladığında güvenlidir. Parameter, bu dinleyicinin herhangi bir göndericiden gelen bir klavye mesajını kabul ettiğini ve mesajın ham HTML taşımasına izin verildiğini tespit etti. Preview böylece sınırın ötesine uzanıp saldırgan HTML’ini güvenilir ana sayfaya aktarabildi.

Bu HTML, tarayıcının chatgpt.com’un bir parçası olarak kabul ettiği yeni bir çerçeve oluşturdu. YouTube’dan yüklenen bir betik ise içinde çalışan kodu sağladı.

Görsel Kaynak: The Hacker News

ChatGPT’nin içerik güvenlik politikası, bir sayfanın betiklerinin nereden gelebileceğini sınırlıyor. Satır içi kodu engelledi ancak YouTube’dan gelen betiklere izin verdi; işte bu yüzden bu adım işe yaradı.

OpenAI Ne Düzeltti ve Kullanıcılar Ne Yapmalı

Parameter, OpenAI’nin hem kod çalıştırma hem de özel sobet kanıtını yeniden ürettiğini, ciddiyeti P2’den P1’e çıkardığını ve ChatGPT’nin web arayüzünün iki sürümünde bir düzeltme yaydığını belirtti. 26 Ekim’e kadar her iki sürüm de saldırının dayandığı mesajları reddetti.

Araştırmacılar sorunu, üst üste gelen üç tasarım seçimine izledi:

1. MathLive, hangi çerçeve tarafından gönderildiğini kontrol etmeden ayarlarını değiştiren bir mesajı işledi.
2. Bu mesaj, klavye yerleşimi verisi olarak ham HTML taşımasına izin verildi.
3. HTML, sandbox’a alınmayan ve chatgpt.com kimliğini miras alan bir çerçeve oluşturabildi.

YouTube adımı yalnızca son çareydi, neden değildi. Tek başına engellenmesi, güvensiz Önizlemenin ana siteye HTML yerleştirmeye devam etmesine yol açardı.

ChatGPT kullanıcılarının herhangi bir şey yapmasına gerek yok. Düzelme OpenAI’nin tarafında, kurulacak ya da sıfırlanacak hiçbir şey yok.

Parameter, düzeltmeden sonra 28 Ekim’de yazısını yayımladı. OpenAI, rapor için toplamda 5.000 dolar ödedi.