Bezpieczeństwo cyfrowe i prywatność · Aktualność
Udostępniony czat w ChatGPT mógł odczytać prywatne rozmowy. Parameter: luka już załatana
Parameter: cudzy link do czatu w ChatGPT i jedno kliknięcie Preview mogły odczytać prywatne rozmowy. OpenAI załatało lukę 26.10. Co sprawdzić u siebie.
Najważniejsza odpowiedź
W skrócie
- Według Parameter cudzy link do rozmowy w ChatGPT i jedno kliknięcie Preview pozwalały kodowi atakującego odczytać prywatne czaty zalogowanej osoby; w późniejszej wersji testu wystarczało otwarcie linku.
- Parameter zgłosił lukę 18 października, a OpenAI według badaczy naprawiło ją 26 października i wypłaciło 5000 dolarów nagrody.
- Parameter opisuje kontrolowany test; The Hacker News pisze, że firma nie zgłasza wykorzystania luki w praktyce, a użytkownicy nie muszą nic robić.
- Redakcja radzi nie klikać Preview w czatach od nieznajomych i przejrzeć własne udostępnione linki w ustawieniach ChatGPT.
Wystarczyło otworzyć cudzy link do rozmowy w ChatGPT i raz kliknąć przycisk Preview, żeby kod atakującego zaczął działać na zalogowanym koncie i czytać prywatne czaty. Tak lukę opisuje firma badawcza Parameter, która zgłosiła ją OpenAI 18 października. Według badaczy OpenAI naprawiło problem 26 października, a The Hacker News pisze, że użytkownicy nie muszą nic robić.
Co pokazali badacze
Według wpisu Parameter z 28 października pułapką był zwykły publiczny link do rozmowy, który można wysłać mailem, w wiadomości albo w poście. Ofiara nie musiała niczego instalować ani nigdzie się logować. W najstabilniejszej wersji testu otwierała link i raz klikała Preview, czyli przycisk, który zamienia kod HTML z rozmowy w małą działającą stronę. W późniejszej wersji badacze sprawili, że Preview otwierał się sam, więc wystarczało wejść w link.
W teście kod pobrał listę ostatnich rozmów ofiary, odczytał prywatny czat, którego nikomu nie udostępniała, i wysłał jego fragment na serwer badaczy. Parameter ocenia, że w ten sposób dało się wykonać na koncie ofiary praktycznie dowolną czynność, i nazywa to przejęciem konta.
Sama izolacja Preview, jak piszą badacze, zadziałała. Drogę otworzył drugi element tej samej rozmowy, czyli interaktywny wykres. Ładował on bibliotekę matematyczną MathLive, która przyjmowała polecenia od dowolnego nadawcy, także od ramki Preview, i wpuszczała podesłany kod HTML na główną stronę ChatGPT.
Czy ktoś to wykorzystał
Parameter opisuje kontrolowany test między własnymi kontami. The Hacker News zaznacza, że firma nie informuje o żadnym wykorzystaniu luki w praktyce. Według Parameter OpenAI odtworzyło problem, podniosło jego ocenę z P2 na P1, czyli według The Hacker News do najpoważniejszej kategorii, i wypłaciło łącznie 5000 dolarów nagrody. Własnego komunikatu OpenAI w tej sprawie do 31 października nie udało się nam znaleźć.
Co możesz zrobić
Ta luka jest zamknięta, ale ostrożność dalej ma sens. Redakcja USIDER radzi nie klikać Preview w rozmowach udostępnionych przez nieznajomych, bo ten przycisk uruchamia kod z cudzego czatu. Sam adres nie chroni: w opisanym ataku link prowadził pod prawdziwy adres chatgpt.com/share, więc liczy się to, od kogo go dostajesz.
Warto też przejrzeć własne udostępnione rozmowy. Według pomocy OpenAI ich lista jest w Settings → Data controls → Shared links → Manage (w polskiej wersji nazwy mogą brzmieć inaczej). Pojedynczy link usuniesz opcją Delete shared link, a wszystkie naraz przez More actions → Delete all shared links. OpenAI zaznacza, że usunięcie linku blokuje dostęp przez niego, ale nie kasuje kopii, którą ktoś już zapisał na swoim koncie. Link z prywatnego konta może otworzyć każdy, kto go ma.