Уязвимость в ChatGPT позволяла красть чужие переписки по ссылке на диалог
Исследователи Parameter нашли в ChatGPT брешь: ссылка на общий диалог, открытая другим пользователем, могла незаметно выкрасть его приватные переписки. OpenAI закрыла дыру и заплатила 5 000 долларов.
Специально составленная ссылка на общий диалог ChatGPT могла — стоило другому пользователю её открыть — незаметно скачать его приватные переписки. По словам нашедшей брешь компании Parameter1, через ту же дыру можно было и действовать от имени жертвы.
Почему это важно: ссылками на диалоги ChatGPT люди обмениваются свободно, не ожидая подвоха. Здесь же хватало открыть такую ссылку, войдя в аккаунт, — в самой опасной версии атаки это был единственный клик жертвы, а примерно через 4,5 секунды всплывало тестовое уведомление: код исследователей уже работал на странице ChatGPT.
Как это работает: ChatGPT умеет показывать прямо в чате маленькие интерактивные странички — это функция предпросмотра HTML, прежде её называли Canvas. Запускаются они в изолированном окне, чтобы чужой код не дотянулся до данных пользователя. Parameter нашла, как эту изоляцию обойти.
Зацепкой стала библиотека MathLive для набора и показа математических формул: её подгружал интерактивный график в чате. У библиотеки есть экранная клавиатура, и управлять ею можно было сообщениями из любого окна — проверки, кто отправитель, не было.
Исследователи отправляли из своей странички два сообщения: первое подменяло раскладку клавиатуры их HTML-кодом, второе требовало клавиатуру показать. Показывая её, MathLive вставляла эту разметку прямо в страницу ChatGPT. Через это удалось протащить новое окно уже без изоляции, а потом запустить собственный код, замаскировав его под обращение к YouTube — одному из немногих разрешённых на странице адресов.
Получив право выполнять код на chatgpt.com, атака читала ключ сессии, тянула через внутренний интерфейс список недавних диалогов и содержимое приватной переписки, а затем отправляла данные наружу под видом загрузки картинки. «Каждая отдельная функция выглядела разумной», — отметил исследователь Мукул Гоял: опасной связка становилась только целиком.
Parameter сообщила об уязвимости 18 октября. OpenAI воспроизвела её 21 октября, подняла уровень опасности до высшего и 26 октября закрыла. За находку компания выплатила премию в 5 000 долларов.
Что говорят: разработчик Саймон Уиллисон, в чьём блоге об уязвимости узнали многие, счёл выплату скупой. «OpenAI закрыла дыру и выплатила премию в 5 000 долларов — по-моему, дешевато за настолько серьёзную уязвимость», — написал он.
Но: признаков того, что брешью кто-то успел воспользоваться, нет — Parameter проверяла атаку на своих тестовых аккаунтах.