Onderzoekers zeggen dat een openbare ChatGPT-deellink code kon uitvoeren in de sessie van een slachtoffer; OpenAI heeft dit op 26 oktober verholpen

Het beveiligingsbedrijf Parameter publiceerde op 28 oktober een verslag waarin staat dat zijn onderzoekers een manier vonden om door een aanvaller beheerde JavaScript uit te voeren binnen de ingelogde ChatGPT-sessie van iedereen die een openbare gesprekslink opende. OpenAI heeft het probleem op 26 oktober verholpen en classificeerde de melding als P1, aldus het verslag.

Parameters beschrijving van de aanvalsketen:

• Een kwaadaardig gesprek combineert een normale interactieve grafiek, die de wiskundebibliotheek MathLive laadt en een berichtenlistener installeert op de hoofdpagina chatgpt.com, met een HTML Preview die de listener berichten stuurt. De listener controleerde niet wie een bericht stuurde dat de indeling van het virtuele toetsenbord wijzigde, en die indeling kon onbewerkte HTML bevatten.
• Die HTML maakte een niet-afgeschermd frame aan dat de identiteit van chatgpt.com droeg. Het content security policy van ChatGPT blokkeerde inline scripts maar stond YouTube toe, en een YouTube oEmbed-endpoint dat een callbackparameter terugstuurde, leverde het script.
• De onderzoekers zeggen dat de code de gesprekken van het slachtoffer kon opsommen, een privégesprek kon lezen dat nooit was gedeeld, en een deel ervan naar een externe server kon sturen. Ze zeggen dat dezelfde toegang elke actie mogelijk zou maken die het account van het slachtoffer kan uitvoeren. Het openen van de deellink, met hooguit één klik op Preview, was voldoende.

De tijdlijn van Parameter: het bedrijf diende de melding op 18 oktober in, OpenAI verhoogde de ernst van P2 naar P1 op 21 oktober, een oplossing werd gefaseerd uitgerold naar de twee webfrontends en op 26 oktober bevestigde OpenAI dat beide de gemelde berichten afwezen en kende het een beloning van $5,000 toe. Dit is het eigen verslag van de onderzoekers; het beschrijft geen gebruik van de kwetsbaarheid tegen echte gebruikers.