كشفت شركة الأمن السيبراني Parameter عن ثغرة خطيرة في ChatGPT، كانت تسمح لأي شخص بالوصول إلى محادثات المستخدمين الخاصة عبر رابط مشاركة عادي، بل وإمكانية السيطرة على حساباتهم.
وبحسب الشركة، استغل الهجوم خللًا في مكتبة MathLive التي يستخدمها ChatGPT لعرض المعادلات الرياضية. إذ سمحت المكتبة بإدخال محتوى HTML دون التحقق من مصدره، ما أتاح تشغيل أكواد JavaScript داخل جلسة المستخدم المسجل دخوله.
وبهذه الطريقة، كان بإمكان المهاجم الوصول إلى سجل المحادثات، وفتح محادثات خاصة لم يشاركها المستخدم، ثم إرسال محتواها إلى خادم خارجي. وفي بعض الحالات، تطلب الهجوم نقرة واحدة على معاينة الرابط، بينما نجحت نسخة أخرى في تنفيذ العملية بمجرد فتح الرابط.
وأبلغ الباحثون شركة OpenAI بالثغرة في 18 أكتوبر، قبل أن ترفع الشركة مستوى خطورتها إلى P1 وتدفع مكافأة قدرها 5 آلاف دولار. وأكدت OpenAI إصلاح المشكلة بحلول 26 أكتوبر، كما عدّلت MathLive إعداداتها الافتراضية في إصدارها الأحدث.
وأكدت Parameter أنها لم ترصد ضحايا فعليين، وأن اختباراتها اقتصرت على حساباتها الخاصة. لذلك، لا يحتاج المستخدمون إلى اتخاذ إجراء لمعالجة الثغرة، لكن يُنصح بمراجعة روابط المحادثات المشتركة وحذف غير الضروري منها عبر الإعدادات، ثم عناصر التحكم في البيانات، وإدارة الروابط المشتركة.
عدد المصادر التي تم تحليلها: 2
المصدر الرئيسي : التقنية بلا حدود Sultan Alqahtani
معرف النشر: TECH-021126-545
