Forscher zeigen, wie ein geteilter ChatGPT-Link Ihre privaten Chats hätte lesen können
Das Sicherheitsunternehmen Parameter hat eine Reihe von Fehlern gefunden, die es einer böswilligen öffentlichen ChatGPT-Freigabe ermöglichen, Code in der Sitzung eines Besuchers auszuführen. OpenAI hat das Problem am 26. Oktober behoben.
Sicherheitsforscher von Parameter haben einen Fehler in der Web-App von ChatGPT beschrieben, der bis zum 26. Oktober dazu führen konnte, dass ein mit Sprengfallen versehener öffentlicher Freigabelink den Code eines Angreifers innerhalb der angemeldeten Sitzung eines Besuchers ausführte. Das Opfer musste lediglich den Link öffnen. OpenAI hat das Problem behoben, es mit P1 bewertet (seine hohe Schweregradstufe, angehoben von einem anfänglichen P2) und ein Kopfgeld von 5.000 US-Dollar gezahlt.
Wie es funktionierte, im Klartext. Eine gemeinsame Konversation enthielt ein Diagramm, das MathLive, eine Mathematik-Eingabebibliothek, geladen hat. MathLive wartet auf Nachrichten von anderen Teilen der Seite, und eine HTML-Vorschaukomponente, die in einer separaten Domäne als Sandbox installiert wurde, könnte ihr Nachrichten senden. MathLive hat nicht überprüft, wer sie gesendet hat, und den empfangenen HTML-Code nicht bereinigt, sodass das vom Angreifer bereitgestellte Markup auf der Hauptseite von ChatGPT gelandet ist. Dieses Markup erstellte einen Frame ohne Sandbox, der die Identität von ChatGPT erbte. Eine Inhaltssicherheitsrichtlinie (ein Browser-Regelwerk, das die Ausführung von Skripten einschränkt) blockierte Inline-Skripte, ließ jedoch YouTube zu, und ein YouTube-Rückruf, der die Eingaben des Angreifers widerspiegelte, verschaffte dem Code Zugang.
Die Auswirkungen laut den Forschern: Der Code könnte die Gespräche des Opfers auflisten, einen privaten Chat lesen, der nie geteilt wurde, und einen Teil davon an einen externen Server senden. In ihrem Beweis schickten sie nur einen kleinen ausgewählten Teil. Sie beschreiben es als einen praktischen Weg des benutzerübergreifenden Datendiebstahls, der im Grunde den Zugriff auf alles bedeutet, was das Konto des Opfers in der Web-App tun kann.
Was dahinter steckt: Dies ist eine klassische Web-Sicherheitslektion, keine KI-spezifische. Es gab drei Schwachstellen: Nachrichten zwischen Seitenkomponenten wurden ohne Prüfungen als vertrauenswürdig eingestuft, Roh-HTML wurde akzeptiert und Frames wurden ohne Sandbox erstellt. Die Forscher stellen fest, dass die Inhaltssicherheitsrichtlinie nur eine Sicherungsschicht war und sich als die letzte noch bestehende Mauer erwies. Die Zeitleiste zeigt einen normalen, verantwortungsvollen Prozess: Bericht am 18. Oktober, Reproduktion und aktualisierter Schweregrad am 21. Oktober, Teilkorrekturen am 22. und 23. Oktober, Reparatur beider Web-Frontends am 26. Oktober.
Was das für Sie bedeutet: Sie müssen nichts gegen diesen speziellen Fehler unternehmen, da er behoben ist und es kein öffentliches Zeichen dafür gibt, dass er gegen echte Benutzer verwendet wurde. Es ist immer noch ein guter Hinweis auf Gewohnheiten: Seien Sie ein wenig vorsichtig mit Links zu geteilten KI-Konversationen von Personen, die Sie nicht kennen, halten Sie vertrauliches Material von Chats fern, die nicht durchgesickert sein sollen, und behandeln Sie „Teilen“-Funktionen als öffentliche Seiten. Für Teams, die auf KI-Chat-Schnittstellen aufbauen, besteht die Erkenntnis darin, alles zu sandboxen, was Inhalte von Drittanbietern rendert.
Quellen
Quellen: https://www.parameter.ai/labs/we-found-a-gap-at-openai
DeepMind kartiert die Waldtypen der Welt mit einer Auflösung von 10 Metern
ForTy, eine neue Google DeepMind- und World Resources Institute-Karte, sortiert globale Landflächen in Primär-, Nachwuchs-, Pflanz- und Plantagenwald mit ehrlichen Genauigkeitsgrenzen.
