Luka P1 w ChatGPT: złośliwy link mógł przejąć sesję i prywatne czaty

Sztuczna inteligencja na dobre zagościła w codziennej pracy firm, które chętnie wykorzystują nowoczesne narzędzia do automatyzacji czy obsługi klientów. Warto jednak pamiętać, że rozwój technologii niesie za sobą również nowe wyzwania z zakresu cyberbezpieczeństwa. Ostatnie doniesienia analityków pokazują, że nawet tak zaawansowane systemy jak ChatGPT mogą stać się obiektem poważnych incydentów bezpieczeństwa, jeśli w kodzie platformy pojawią się podatności.

Badacze z firmy zajmującej się bezpieczeństwem, Parameter, odkryli poważną lukę, która mogła pozwolić na przejęcie kontroli nad sesją użytkownika. Zagrożenie to dotykało kwestii poufności danych, co w przypadku wykorzystywania sztucznej inteligencji do celów biznesowych ma kluczowe znaczenie. OpenAI zostało poinformowane o problemie poprzez program bug bounty, a usterka szybko została wyeliminowana przez producenta.

Warto przyjrzeć się bliżej temu, jak dokładnie wyglądał opisywany mechanizm ataku oraz w jaki sposób badaczom udało się go zrealizować w kontrolowanych warunkach. Zrozumienie natury takich zagrożeń pozwala lepiej ocenić ryzyko związane z przetwarzaniem poufnych informacji w narzędzkach cyfrowych.

Na czym polegała podatność typu P1 w ChatGPT?

Zagrożenie opierało się na wykorzystaniu zwykłego, publicznego linku do konwersacji w ChatGPT. Taki adres URL można przesłać w dowolny sposób – za pomocą wiadomości e-mail, czatu, zgłoszenia w systemie wsparcia czy wpisu w mediach społecznościowych. Ofiara nie musiała instalować żadnego dodatkowego oprogramowania, dołączać do specjalnego workspace'u ani logować się za pośrednictwem konta atakującego.

W początkowej wersji ataku wystarczyło otworzyć link i raz kliknąć przycisk Podglądu (Preview) w ChatGPT. W późniejszej wariancie badacze zdołali skonfigurować stronę tak, aby podgląd otwierał się automatycznie, co sprawiało, że samo kliknięcie w link było jedynym krokiem wymaganym od użytkownika. Luka została zakwalifikowana przez OpenAI jako P1, czyli najwyższa kategoria powagi.

Jak atakujący mógł wykorzystać otwarty link?

Gdy ofiara otwierała spreparowany link, kod przygotowany przez atakującego uruchamiać się wewnątrz jej zalogowanej sesji. Posiadał on dokładnie takie same uprawnienia jak legalna strona ChatGPT. W ramach testów kontrolowanych kod potrafił wylistować ostatnie konwersacje ofiary, otworzyć prywatny czat, który nigdy wcześniej nie był udostępniany, a także wysłać jego fragment na zewnętrzny serwer. Powiązany temat opisaliśmy w artykule „Zostawiłeś hasło do bazy danych w aplikacji? Błąd Applebee's”.

Ponieważ skrypt działał z pełnym dostępem webowym użytkownika, jego możliwości nie ograniczały się do pojedynczych ekranów. Badacze wskazali, że mogli wykonać w zasadzie dowolne działanie w imieniu konta ChatGPT ofiary. Prace te miały charakter wyłącznie badawczy i kontrolowany – przeprowadzono je pomiędzy oddzielnymi kontami testowymi, a nie przeciwko rzeczywistym użytkownikom. Więcej o tym, jak to wpływa na pozycjonowanie i widoczność w Google, znajdziesz w opisie usługi.

Mechanizm przełamania piaskownicy

Cały proces wykorzystywał złożony łańcuch zdarzeń związanych z architekturą aplikacji. ChatGPT potrafi zamienić blok kodu HTML w niewielką stronę internetową za pomocą funkcji Podglądu. Ponieważ taka strona może zawierać dowolny kod, system uruchamia ją w odizolowanej ramce na osobnym adresie URL, gdzie nie ma ona dostępu do głównej strony serwisu.

Źródło problemu tkwiło w innej funkcji tej samej konwersacji, jaką był interaktywny wykres. Jego generowanie ładowało bibliotekę matematyczną MathLive bezpośrednio na główną stronę ChatGPT. Pozostawiało to aktywny nasłuch, który przyjmował wiadomości dotyczące klawiatury ekranowej. Badacze odkryli, że nasłuch ten akceptował komunikaty z dowolnego źródła i pozwalał na przekazywanie surowego kodu HTML.

Reakcja OpenAI i naprawa błędu

Firma Parameter zgłosiła wykrytą podatność 18 października, a OpenAI wdrożyło poprawkę zaledwie osiem dni później, oceniając problem jako priorytetowy. Naprawa została wprowadzona w dwóch wersjach interfejsu webowego ChatGPT i polegała na odrzucaniu nieautoryzowanych komunikatów, na których opierał się atak. Za swoje zgłoszenie badacze otrzymali nagrodę w wysokości 5 000 dolarów.

Analiza wykazała, że problem wynikał z zestawienia ze sobą trzech konkretnych decyzji projektowych, takich jak brak weryfikacji ramki wysyłającej komunikat przez bibliotekę MathLive czy zezwolenie na surowy HTML. Ostatni element układanki, czyli wykorzystanie skryptów ładowanych z YouTube, służył jedynie jako ostateczne obejście restrykcyjnych polityk bezpieczeństwa treści (CSP).

Co to oznacza dla małej firmy?

Właściciele mniejszych przedsiębiorstw coraz częściej korzystają z zaawansowanych technologii, wdrażając nowoczesne automatyzacje AI w codziennej obsłudze klientów czy wewnętrznych procesach. Choć opisywana luka została błyskawicznie zamknięta przez dostawcę, a użytkownicy nie musieli podejmować żadnych działań ani instalować aktualizacji, incydent ten przypomina o konieczności zachowania ostrożności.

Przetwarzanie wrażliwych danych firmowych, strategii czy poufnych informacji o klientach w narzędzkach opartych na sztucznej inteligencji wymaga świadomości potencjalnych zagrożeń technicznych. Bezpieczeństwo cyfrowe opiera się nie tylko na solidnej infrastrukturze i profesjonalnych stronach internetowych, ale również na rozwadze w zarządzaniu dostępami i przesyłaniu linków czy danych przez internet.

Podsumowanie

Incydent z luką P1 w ChatGPT pokazuje, jak złożone potrafią być współczesne aplikacje webowe i jak drobne błędy w komunikacji między elementami strony mogą prowadzić do poważnych zagrożeń. Szybka reakcja producenta i wypłata nagrody dla badaczy dowodzą jednak, że programy bug bounty skutecznie podnoszą poziom bezpieczeństwa usług cyfrowych.