Tek bir paylaşılan link ChatGPT hesabını ele geçirmeye yetti

Paylaşılan link nasıl saldırı vektörüne dönüştü?

Saldırı, zararsız görünen iki özellikle başladı: etkileşimli bir grafik ve HTML Önizleme. Grafik, ana ChatGPT sayfasına bir mesaj dinleyicisi kuran MathLive adlı matematik kütüphanesini yüklüyordu. Bu dinleyici her kaynaktan gelen mesajları kabul ediyor ve sanal klavye düzenine HTML enjeksiyonuna izin veriyordu.

Parameter'ın araştırma ekibi, farklı bir alan adında sandbox'lanmış bir iframe içinde çalışan ChatGPT HTML Önizleme'nin yine de postMessage aracılığıyla ana sayfayla iletişim kurabildiğini buldu. Grafik özelliği, ekran klavyesi mesajları için bir dinleyici kuran MathLive'ı yüklüyordu. Kritik nokta şuydu: MathLive'ın denetleyicisi 'none' kaynak politikası kullanıyordu, yani herhangi bir web sitesinden gelen mesajları kabul ediyordu. Böylece Önizleme, klavye düzenini saldırganın kontrolündeki HTML ile değiştiren bir mesaj gönderebiliyordu.

Klavye gösterildiğinde MathLive, HTML'i innerHTML kullanarak ana ChatGPT sayfasına yerleştiriyordu. createHTML adlı yardımcı fonksiyon, dizeyi temizlemek yerine güvenilir olarak işaretliyor ve HTML'in geçmesine izin veriyordu. Bu şekilde eklenen script etiketleri çalışmaz, ancak ekip yeni bir belge oluşturmak için srcdoc özellikli bir iframe kullandı. Çerçeveyi ana sayfa oluşturduğu için chatgpt.com kaynağını miras alıyor ve üst sayfaya erişebiliyordu.

YouTube'un JSONP uç noktasıyla CSP atlatma

ChatGPT'nin İçerik Güvenliği Politikası satır içi script'leri engelliyor ancak YouTube'dan gelen script'lere izin veriyordu. Ekip, JSONP tarzı bir geri çağırma parametresini destekleyen ve bunu düzgün doğrulamayan YouTube oEmbed uç noktasını kullanarak JavaScript'lerini yeni çerçevede yükleyip çalıştırdı.

chatgpt.com olarak rastgele JavaScript çalıştıran saldırganlar, ChatGPT'nin kimliği doğrulanmış API'lerini kurban adına çağırabiliyordu. Ekip, kurbanın sohbet listesini numaralandırmayı, hiç paylaşılmamış özel bir sohbetin içeriğini almayı ve bu verileri harici bir sunucuya sızdırmayı gösterdi. Kurbanın tek yapması gereken paylaşılan linki açmaktı; uygulama kurmak, projeye katılmak veya kod yapıştırmak gerekmiyordu.

Açığın ilk sürümü, gönderici olarak araştırmacının kontrolündeki bir ChatGPT Uygulamasını kullanıyordu, bu da kurbanın o uygulamayı bağlamasını veya çağırmasını gerektirirdi. Ekip daha sonra yükü, aynı sandbox'lı Önizleme'de açılan yerel bir HTML eki aracılığıyla iletmenin bir yolunu buldu. Ancak sohbeti herkese açık paylaşım olarak dışa aktarırken ek kalıyor, grafik kalmıyordu; bu da gerçek dünyada teslimatı zorlaştırıyordu. Araştırmacılar saldırıyı geliştirmeye devam etti.

OpenAI'ın yanıtı ve kullanıcılar için anlamı

OpenAI açığı 26 Ekim'de kapattı ve raporu en yüksek önem derecesi olan P1 olarak sınıflandırdı. Şirket düzeltmenin ayrıntılarını kamuya açıklamadı ancak açık artık yamalı.

P1 sınıflandırması, OpenAI'ın sorunu kritik gördüğünü gösteriyor. Saldırı zinciri, izin verici mesaj işleme sahip üçüncü taraf bir kütüphane (MathLive) ile YouTube'dan script'lere izin veren bir CSP'nin birleşimine dayanıyordu. OpenAI'ın MathLive yapılandırmasını mı değiştirdiği, CSP'yi mi sıkılaştırdığı yoksa ek sandbox'lama mı uyguladığı belirsiz. Araştırmacılar istismar kodunun tamamını yayınlamadı ancak yazdıkları analiz, diğer güvenlik ekiplerinin tekniği anlaması için yeterli ayrıntı içeriyor.

ChatGPT kullanıcıları için acil risk ortadan kalktı, ancak olay özellik açısından zengin web uygulamalarının tehlikelerini gözler önüne seriyor. Saldırı, linki açmaktan başka hiçbir kullanıcı etkileşimi gerektirmediği için güçlü bir kimlik avı vektörü. Kullanıcılar, güvendikleri platformlarda bile güvenilmeyen kaynaklardan gelen paylaşılan linkleri açma konusunda temkinli olmalı. Bu tablo, otonom yapay zekâ ajanlarının güvenlik riskleri haberimizde anlattığımız denetim sorununun bir başka yüzü.

Türkiye'de durum ne?

Açık, dünya genelindeki tüm ChatGPT kullanıcılarını etkiledi; Türkiye'deki kullanıcılar da dahil. OpenAI 26 Ekim'de yamayı yayınladığı için Türkiye'den erişen kullanıcıların ek bir işlem yapmasına gerek yok. ChatGPT bulut tabanlı bir hizmet olduğu için düzeltme küresel olarak uygulandı.

OpenAI açığın gerçek saldırılarda kullanılıp kullanılmadığını açıklamadı. Türkiye'deki kullanıcılar için pratik öneri şu: Tanımadığınız kişilerden gelen ChatGPT paylaşım linklerine tıklamadan önce iki kez düşünün. Hesabınızda iki adımlı doğrulamayı açık tutun. Benzer bir saldırı yüzeyinin kurumsal yapay zekâ ajanlarında nasıl göründüğünü Pentagon ağına bağlanan yapay zekâ ajanı sızıntısı haberimizde okuyabilirsiniz.

ChatGPT hesap ele geçirme olayı, yapay zekâ platformlarının geleneksel web güvenliği tuzaklarından muaf olmadığını gösteriyor. OpenAI'ın hızlı müdahalesi güven verici olsa da her yeni özelliğin, ne kadar zararsız görünürse görünsün, sıkı güvenlik incelemelerinden geçmesi gerektiğini hatırlatıyor.