نشت اطلاعات کاربران چت‌جی‌پی‌تی از طریق لینک‌های اشتراک‌گذاری؛ حفره امنیتی خطرناک مسدود شد

اخیراً یک آسیب‌پذیری امنیتی جدی در پلتفرم چت‌جی‌پی‌تی کشف شد که می‌توانست حریم خصوصی کاربران را به شکلی گسترده تهدید کند. محققان امنیتی در شرکت «پارامتر» متوجه شدند که با استفاده از قابلیت اشتراک‌گذاری لینک‌های گفتگو، مهاجمان قادر بودند کدهای مخرب خود را در نشست فعال کاربر قربانی اجرا کنند. این نقص فنی به مهاجم اجازه می‌داد بدون نیاز به نصب هیچ‌گونه نرم‌افزار جانبی یا ورود به حساب کاربری قربانی، به تاریخچه گفتگوهای خصوصی او دسترسی پیدا کرده و حتی از طرف حساب او در پلتفرم فعالیت کند.

جزئیات فنی این حفره امنیتی نشان می‌دهد که چگونه ترکیب چند ویژگی به ظاهر بی‌خطر، منجر به یک فاجعه امنیتی شده است. سیستم «پیش‌نمایش» چت‌جی‌پی‌تی که برای نمایش محتوای وب در محیطی ایزوله طراحی شده، به دلیل نقص در مدیریت پیام‌های بین‌فریم‌ها، اجازه می‌داد کدهای مخرب از محدودیت‌های امنیتی عبور کنند. در واقع، یک کتابخانه ریاضی که برای نمایش فرمول‌ها استفاده می‌شد، پیام‌های دریافتی را بدون احراز هویت فرستنده می‌پذیرفت و همین موضوع به مهاجم اجازه داد تا کدهای مخرب خود را به صفحه اصلی تزریق کرده و با سوءاستفاده از اعتماد مرورگر به دامنه چت‌جی‌پی‌تی، کنترل نشست کاربر را در دست بگیرد.

خوشبختانه این آسیب‌پذیری که توسط تیم امنیتی اوپن‌ای‌آی در بالاترین سطح بحرانی (P1) طبقه‌بندی شده بود، به سرعت شناسایی و برطرف شد. محققان پس از گزارش این نقص در اواسط اکتبر، شاهد اقدام سریع اوپن‌ای‌آی برای مسدود کردن مسیرهای نفوذ در سمت سرور بودند و اکنون کاربران نیازی به انجام هیچ اقدام خاصی ندارند. این رویداد بار دیگر اهمیت حیاتی «امنیت در طراحی» را برای سرویس‌های هوش مصنوعی یادآوری می‌کند؛ چرا که حتی کوچک‌ترین ناهماهنگی در معماری نرم‌افزاری می‌تواند به نشت اطلاعات حساس میلیون‌ها کاربر منجر شود.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید