Luka bezpieczeństwa (kolejna) w ChatGPT

Poważna luka bezpieczeństwa w ChatGPT – wystarczyło kliknięcie w link

Badacze cyberbezpieczeństwa wykryli groźną podatność w ChatGPT, która umożliwiała przejęcie kontroli nad kontem użytkownika. Do przeprowadzenia ataku wystarczyło otwarcie odpowiednio przygotowanego linku do udostępnionej rozmowy.

Jak działało zagrożenie?

Lukę odkryli eksperci z firmy Parameter. Wykorzystując mechanizm udostępniania konwersacji oraz błędy w komunikacji pomiędzy komponentami ChatGPT, atakujący mógł doprowadzić do uruchomienia złośliwego kodu JavaScript w przeglądarce ofiary.

Co istotne, użytkownik nie musiał instalować żadnego oprogramowania, podawać hasła ani zatwierdzać dodatkowych operacji. Wystarczyło samo otwarcie spreparowanego odnośnika.

Potencjalne konsekwencje obejmowały:

• Uzyskanie dostępu do prywatnych rozmów użytkownika.

• Wykradanie poufnych informacji zawartych w konwersacjach.

• Wykonywanie działań z uprawnieniami zalogowanego użytkownika.

• Przejęcie kontroli nad kontem w ramach aktywnej sesji.

OpenAI szybko usunęło podatność

Po otrzymaniu zgłoszenia firma OpenAI potwierdziła istnienie zagrożenia i zakwalifikowała je do najwyższej kategorii ważności (P1).

Poprawki bezpieczeństwa wdrożono w ciągu zaledwie 8 dni, a badacze otrzymali nagrodę w wysokości 5000 dolarów w ramach programu Bug Bounty.

Podatność została już usunięta po stronie dostawcy, dlatego użytkownicy nie muszą instalować dodatkowych aktualizacji.

Bezpieczeństwo AI – o czym warto pamiętać?

Przypadek ten pokazuje, że nawet popularne i zaawansowane platformy AI nie są całkowicie odporne na cyberataki.

Warto zachować ostrożność podczas otwierania linków otrzymywanych od nieznanych osób, unikać umieszczania poufnych danych firmowych w rozmowach z AI oraz stosować uwierzytelnianie wieloskładnikowe (MFA).