ثغرة خطيرة في ChatGPT تتيح سرقة المحادثات الخاصة

كشف باحث أمني عن ثغرة خطيرة في منصة ChatGPT، أتاحت للمهاجمين الوصول إلى حسابات المستخدمين، والاطلاع على محادثاتهم الخاصة، واستخراج بيانات منها، بمجرد فتح رابط لمحادثة مشتركة، دون الحاجة إلى تثبيت تطبيقات أو إدخال بيانات تسجيل الدخول.

وأوضح الباحث الأمني موكول جويال، في تقرير، أن الثغرة كانت تسمح بإنشاء محادثة خبيثة على ChatGPT ومشاركتها عبر ميزة مشاركة المحادثات المتاحة لجميع المستخدمين، بحيث يؤدي فتح الرابط إلى تشغيل تعليمات برمجية داخل حساب الضحية، تمنح المهاجم صلاحيات الوصول إلى بياناته والتصرف نيابة عنه.
وذكر جويال أن فريقه تمكن خلال الاختبارات من الوصول إلى قائمة المحادثات الخاصة بحساب مستخدم، وقراءة محتوى محادثة لم يسبق لصاحبها مشاركتها مع أي شخص، قبل إرسال جزء من بياناتها إلى خادم خارجي تابع للفريق البحثي.

ولم تقتصر خطورة الثغرة على الاطلاع على المحادثات، إذ كانت التعليمات البرمجية التي تمكن الباحثون من تشغيلها تتمتع بالصلاحيات نفسها التي تستخدمها منصة ChatGPT للتعامل مع الحساب المسجل دخوله، ما كان يتيح نظرياً تنفيذ إجراءات أخرى نيابة عن المستخدم.

واعتمد الهجوم على استغلال ميزة مشاركة المحادثات في ChatGPT، التي تتيح إنشاء رابط عام لمحادثة، بحيث يستطيع أي شخص يمتلكه الاطلاع على محتواها. وكان بإمكان المهاجم إعداد محادثة تتضمن عناصر برمجية خبيثة، ثم إرسال رابطها إلى الضحية عبر البريد الإلكتروني أو تطبيقات التراسل أو منشورات شبكات التواصل الاجتماعي.

وبمجرد فتح الرابط أثناء تسجيل دخول المستخدم إلى حسابه، تبدأ العناصر الخبيثة في العمل مستغلة الثغرة لتشغيل تعليمات برمجية بصلاحيات الحساب نفسه.

ولم يكن الهجوم يتطلب من الضحية تثبيت أي تطبيق، أو الانضمام إلى مشروع مشترك على المنصة، أو نسخ تعليمات برمجية وتشغيلها، كما لم يكن يتطلب استخدام أدوات المطورين في متصفح الإنترنت.

واختبر الباحثون الهجوم 3 مرات باستخدام حساب منفصل، وتمكنوا من إعادة تنفيذه حتى بعد إعادة تحميل صفحة ChatGPT بالكامل، إذ بدأ تشغيل التعليمات البرمجية الخبيثة بعد نحو 4.5 ثانية من فتح الرابط. (إرم نيوز)