Parameter Labs توضح اختراق حسابات ChatGPT عبر الهروب من sandbox

أوضح Parameter Labs استغلالاً ضد تنفيذ ChatGPT لـ "نمط artifacts"، والذي كانت OpenAI تسميه سابقاً "Canvas" والآن "HTML previews"، حيث تعمل تطبيقات HTML التفاعلية المخصصة داخل iframe معزول. يمكن للسلسلة أن تسمح لمهاجم بإنشاء رابط مشاركة في ChatGPT، وعند فتحه من مستخدم مسجل الدخول آخر، سحب بيانات خاصة أو اتخاذ إجراءات نيابة عن ذلك المستخدم. أغلقت OpenAI الثغرة ودفعت مكافأة اكتشاف أخطاء بقيمة 5000 دولار.

كيف عملت سلسلة الهجوم

يستخدم ChatGPT مكتبة JavaScript المسماة MathLive لدعم الرسوم البيانية، وتتضمن تلك المكتبة لوحة مفاتيح افتراضية. يمكن تشغيل اللوحة في الصفحة الأم عبر postMessage() من iframe المعزول. الشفرة التي تستقبل تلك الرسائل تستخدم innerHTML، ولم يكن هناك آلية لمنع إطارات معزولة أخرى، بما في ذلك إطارات HTML preview، من استدعاء تلك الطريقة.

سمح ذلك لشفرة iframe غير الموثوقة بإدراج HTML مخصص في الصفحة الأم. على الرغم من أن innerHTML لا ينفذ عناصر script مباشرة، يمكن استخدامه لحقن iframe جديد بدون قيود sandbox. منعت سياسة أمان المحتوى من OpenAI البرامج النصية المضمنة inline وسمحت بتحميل البرامج النصية من عدد قليل من النطاقات فقط، وكان YouTube ضمنها. يمكن لنقطة نهاية YouTube oEmbed أن تعكس JavaScript بطريقة تؤدي إلى تنفيذه.

الأثر والتصحيح

بمجرد حصول المهاجم على تنفيذ JavaScript في ChatGPT، كان من السهل جلب بيانات المستخدم الخاصة من واجهات API وتسريبها عبر مرجع صورة. والنتيجة كانت رابط مشاركة يمكن أن يُعرّض زائرًا مسجلاً للخطر. أصلحت OpenAI الثغرة ودفعت مكافأة 5000 دولار؛ وقال Simon Willison، الذي ربط بالتقرير، إنه اعتقد أن هذا المبلغ رخيص بعض الشيء لثغرة بهذا المستوى من الخطورة.

المصادر: Simon Willison