חוקרי Parameter Labs חשפו איך קישור שיתוף ב-ChatGPT איפשר להשתלט על חשבונות

חוקרי האבטחה של Parameter Labs פרסמו תיאור מפורט של פרצה שאיפשרה להשתלט על חשבונות ChatGPT. התקיפה ניצלה את HTML Previews, התכונה שמציגה אפליקציות HTML אינטראקטיביות בתוך חלון מבודד בממשק. מספיק היה שמשתמש מחובר ייכנס לקישור שיתוף של ChatGPT שהתוקף הכין מראש, והתוקף יכול היה לשלוף את המידע הפרטי שלו או לבצע פעולות בשמו. לפי סיכום של המפתח והבלוגר סיימון ויליסון, OpenAI סגרה את הפרצה ושילמה לחוקרים 5,000 דולר כפרס במסגרת תוכנית ה-bug bounty שלה.

חלון מבודד שלא היה מבודד מספיק

כמה עוזרי AI מאפשרים למודל לכתוב קוד HTML ולהריץ אותו כאפליקציה קטנה ישירות בתוך השיחה. ב-OpenAI קראו לתכונה הזאת בעבר Canvas, והגרסה העדכנית שלה נקראת ככל הנראה HTML Previews. את הקוד מריצים בתוך iframe, כלומר מסגרת שמטמיעה דף אחד בתוך דף אחר, והמסגרת מוגדרת כ-sandbox מבודד. ויליסון מסביר שהבידוד הזה קריטי: הקוד שרץ שם אינו מהימן, ואסור שיוכל לפנות לממשקי ה-API של OpenAI או להגיע למידע פרטי של המשתמש.

שרשרת של חולשות קטנות

החוקרים לא מצאו כשל בודד. הם חיברו כמה חוליות לשרשרת אחת:

• מקלדת וירטואלית: OpenAI משתמשת בספריית JavaScript בשם MathLive כחלק מתמיכת הגרפים. לספרייה יש מקלדת וירטואלית משלה, ואפשר להפעיל אותה בדף הראשי באמצעות הודעת postMessage() שנשלחת מתוך ה-iframe המבודד.
• הזרקת HTML: הקוד שמקבל את ההודעות האלה משתמש ב-innerHTML, ולכן כל מי ששולח הודעה יכול להוסיף HTML משלו לדף הראשי. לא היה מנגנון שמנע ממסגרות מבודדות אחרות, כולל מסגרות של HTML Previews, לשלוח את ההודעה הזו.
• מסגרת בלי הגבלות: innerHTML אינו מריץ תגיות script ישירות, אבל דרכו אפשר היה להחדיר iframe חדש שאין עליו הגבלות sandbox.
• עקיפת CSP: מדיניות אבטחת התוכן (CSP) של OpenAI חסמה סקריפטים מוטמעים לגמרי, והתירה לטעון סקריפטים רק מרשימה קצרה של דומיינים. אחד מהם היה YouTube, ונקודת הקצה oEmbed שלו שימשה להחזיר JavaScript בצורה שגרמה להרצתו.

כשהתוקף הצליח להריץ JavaScript בתוך ChatGPT, ויליסון מתאר את השאר כ"טריוויאלי": שליפת מידע פרטי מממשקי ה-API, והוצאתו החוצה דרך הפניה לתמונה.

למה זה חשוב

הדבר הבולט כאן הוא שאף חוליה לא נראתה מסוכנת בפני עצמה: ספריית מתמטיקה, מקלדת וירטואלית, דומיין מוכר ברשימה המותרת. רק כשמחברים אותן מגיעים להשתלטות מלאה. המקרה ממחיש ככל הנראה שבידוד של HTML לא מהימן תלוי בכל רכיב שבא איתו במגע, ולא רק בהגדרת ה-sandbox עצמה.

הנושא נעשה רלוונטי יותר ככל שכלי AI מייצרים ומריצים יותר קוד בתוך הממשק שלהם. כל אפליקציה כזו היא קוד שאף אחד לא בדק, והיא רצה צמוד לחשבון של המשתמש. לכן גם השיתוף מסוכן: לפי התיאור, כל מה שנדרש מהקורבן הוא ללחוץ על קישור.

ויליסון ציין שלדעתו סכום הפרס, 5,000 דולר, "קצת זול" בשביל פרצה חמורה כל כך.