Badacze twierdzą, że publiczny link do udostępnionej rozmowy w ChatGPT mógł uruchomić kod w sesji ofiary; OpenAI naprawiło problem 26 października

Firma zajmująca się bezpieczeństwem Parameter opublikowała 28 października opis, w którym podała, że jej badacze znaleźli sposób na uruchomienie kontrolowanego przez atakującego kodu JavaScript w zalogowanej sesji ChatGPT każdej osoby, która otworzyła publiczny link do udostępnionej rozmowy. Według opisu OpenAI naprawiło problem 26 października i zaklasyfikowało zgłoszenie jako P1.

Opis łańcucha ataku według Parameter:

• Złośliwa rozmowa łączy zwykły interaktywny wykres, który ładuje bibliotekę matematyczną MathLive i instaluje odbiornik komunikatów na głównej stronie chatgpt.com, z podglądem HTML, który wysyła do niego komunikaty. Odbiornik nie sprawdzał, kto wysłał komunikat zmieniający układ klawiatury wirtualnej, a układ mógł zawierać surowy kod HTML.
• Ten kod HTML tworzył niezabezpieczoną ramkę o tożsamości chatgpt.com. Polityka bezpieczeństwa treści ChatGPT blokowała skrypty wbudowane, ale zezwalała na YouTube, a punkt końcowy oEmbed YouTube, który zwracał parametr callback, dostarczał skrypt.
• Badacze twierdzą, że kod mógł wyświetlić listę rozmów ofiary, odczytać prywatną rozmowę, która nigdy nie była udostępniana, i wysłać jej fragment na zewnętrzny serwer. Twierdzą, że taki sam dostęp pozwalałby na wykonanie dowolnej czynności dostępnej z konta ofiary. Wystarczyło otworzyć link do udostępnionej rozmowy i co najwyżej raz kliknąć podgląd.

Oś czasu według Parameter: zgłoszenie wysłano 18 października, 21 października OpenAI podniosło poziom istotności z P2 do P1, poprawka trafiła etapami do obu frontendów internetowych, a 26 października OpenAI potwierdziło, że oba odrzucają zgłoszone komunikaty, i przyznało nagrodę w wysokości 5 000 USD. Relacja pochodzi od samych badaczy; opis nie mówi o wykorzystaniu luki przeciwko prawdziwym użytkownikom.