Paglabag sa ChatGPT gamit ang isang pindot
Ang cybersecurity company na Parametric ay nagkamit ng vulnerability sa ChatGPT na nagbibigay-daan sa pag-access ng private conversations, at inayos ng Open AI ang problema.
Isinalin ng Qiyas mula sa الجريدة — Orihinal na pinagmulan
Hanggang sa kamakailan, ang isang pindot lamang sa isang shared chat link sa ChatGPT ay maaaring payagan ang isang estranghero na makakita ng mga pribadong usapan ng isang gumagamit.
Ipinakita ng cybersecurity company na Parametir ang mga detalye ng isang serye ng pag-atake sa isang detalyadong ulat na inilathala nito noong ilang araw ang nakalipas, at naibalik ito ng Al Arabiya Net ngayon. Ayon sa kumpanya, ang OpenAI, ang tagapagbubuo ng ChatGPT, ay naayos na ang vulnerability sa oras na iyon.
Ayon sa ulat ng tech news site na Notebookcheck, ang mga researcher ay nag-ulat ng vulnerability sa pamamagitan ng bug bounty program ng OpenAI noong Oktubre 18, at simula noong Oktubre 26, ang mga bersyon ng app ng ChatGPT para sa web ay protektado na laban sa pag-atake.
Ayon sa Parametir, hindi nila nakita ang anumang indikasyon ng mga aktwal na biktima, at ang mga pagsusuri ng serye ng pag-atake ay limitado lamang sa mga account ng kumpanya mismo.
Upang lumikha ng graph, gumagamit ang ChatGPT ng MathLive library, na nagbibigay ng virtual keyboard para sa pag-input ng mga mathematical equation. Ang keyboard na ito ay tumatanggap ng mga mensahe mula sa anumang ibang window, at inilalagay ang HTML content na dinala nito sa loob ng pahina nang walang pagpapatunay. Ito ay nagdulot ng isang hindi secure na sandboxed environment, na tinatanggap ng browser bilang bahagi ng ChatGPT site mismo. Ang mga security rules ng site ay nagpapahintulot din sa pag-load ng mga script mula sa YouTube, na ginamit ng mga researcher upang patakbuhin ang kanilang sariling JavaScript code.
Ang code na ito ay tumakbo sa loob ng session ng isang logged-in user sa ChatGPT, na nagbigay-daan sa kanya na makakuha ng access sa listahan ng lahat ng kanyang mga usapan, buksan ang isang pribadong usapan na hindi niya ibinahagi, at ipadala ang ilang bahagi nito sa isang external server. Sa pamamagitan ng internal APIs ng ChatGPT, ang code ay maaari ring magpatupad ng mga aksyon sa ngalan ng user, na inilarawan ng Parametir bilang maaaring magresulta sa pagkuha ng account.
