نفوذ به چت‌جی‌پی‌تی با یک کلیک
شرکت امنیت سایبری پارامتر از یک آسیب‌پذیری در چت‌جی‌پی‌تی پرده برداشت که امکان مشاهده مکالمات خصوصی را فراهم می‌کرد؛ شرکت اوپن‌ای‌آی این مشکل را برطرف کرد.
ترجمهٔ قیاس از الجريدة — منبع اصلی
تا مدت‌ها پیش، تنها با یک کلیک بر روی پیوند گفتگوی مشترک در «چت‌جی‌پی‌تی»، امکان دسترسی افراد غریبه به مکالمات خصوصی کاربران وجود داشت.
شرکت امنیت سایبری «پارامتر» جزئیات این زنجیره حمله را در گزارشی مفصل که چند روز پیش منتشر کرد و «العربية نت» امروز آن را بازتاب داد، افشا کرد. شرکت اوپن‌ای‌آی، توسعه‌دهنده چت‌جی‌پی‌تی، تا زمان انتشار این گزارش، این آسیب‌پذیری را برطرف کرده بود.
بر اساس گزارشی از وب‌سایت تخصصی فناوری «Notebookcheck»، پژوهشگران این آسیب‌پذیری را از طریق برنامه پاداش‌دهی کشف باگ‌های امنیتی اوپن‌ای‌آی در ۱۸ اکتبر گزارش دادند و از ۲۶ اکتبر گذشته، نسخه‌های وب اپلیکیشن چت‌جی‌پی‌تی در برابر این حمله مصون شده‌اند.
شرکت پارامتر اعلام کرد که هیچ نشانه‌ای از قربانیان واقعی مشاهده نکرده و آزمایش‌های این زنجیره حمله تنها بر روی حساب‌های خود شرکت متمرکز بوده است.
برای ایجاد نمودار، چت‌جی‌پی‌تی از کتابخانه MathLive استفاده می‌کند که یک صفحه‌کلید مجازی برای ورود معادلات ریاضی فراهم می‌آورد. این صفحه‌کلید مجازی قادر بود پیام‌هایی را از هر پنجره دیگری دریافت کند و محتوای HTML بارگذاری‌شده را بدون بررسی، در صفحه درج نماید. این امر منجر به ایجاد یک قاب اجرایی (iframe) شد که از نظر امنیتی ایزوله نبود و مرورگر آن را بخشی از خود سایت چت‌جی‌پی‌تی تلقی می‌کرد. همچنین، قوانین امنیتی سایت اجازه می‌داد اسکریپت‌هایی از یوتیوب بارگذاری شوند که پژوهشگران از این امکان برای اجرای کدهای جاوااسکریپت اختصاصی خود بهره بردند.
این کدها در جلسه کاربر واردشده به چت‌جی‌پی‌تی اجرا می‌شدند و به مهاجم امکان دسترسی به فهرست تمام مکالمات او، باز کردن یک گفتگوی خصوصی که پیش‌تر به اشتراک گذاشته نشده بود و ارسال بخشی از آن‌ها به یک سرور خارجی را می‌دادند. از طریق رابط‌های برنامه‌نویسی داخلی چت‌جی‌پی‌تی، این کدها قادر به انجام اقداماتی به نام کاربر نیز بودند که شرکت پارامتر آن را تا حد تسخیر حساب توصیف کرده است.
