Los investigadores muestran cómo un enlace ChatGPT compartido podría haber leído sus chats privados
La empresa de seguridad Parameter encontró una cadena de errores que permitían a un ChatGPT público malicioso compartir código de ejecución en la sesión de un visitante. OpenAI lo solucionó el 26 de octubre.
Los investigadores de seguridad de Parameter han descrito una falla en la aplicación web de ChatGPT que, hasta el 26 de octubre, podría haber permitido que un enlace público compartido con trampa explosiva ejecutara el código de un atacante dentro de la sesión iniciada de un visitante. La única acción necesaria por parte de la víctima era abrir el enlace. OpenAI lo solucionó, lo calificó como P1 (su nivel de alta gravedad, elevado desde un P2 inicial) y pagó una recompensa de $5,000.
Cómo funcionó, en términos sencillos. Una conversación compartida contenía un gráfico que cargaba MathLive, una biblioteca de entrada matemática. MathLive escucha mensajes de otras partes de la página y un componente de vista previa HTML, que estaba aislado en un dominio separado, podía enviarle mensajes. MathLive no comprobó quién los enviaba ni limpió el HTML que recibió, por lo que el marcado proporcionado por el atacante terminó en la página principal de ChatGPT. Ese marcado creó un marco sin espacio aislado que heredó la identidad de ChatGPT. Una política de seguridad de contenido (un libro de reglas del navegador que limita qué scripts pueden ejecutarse) bloqueó los scripts en línea, pero permitió YouTube, y una devolución de llamada YouTube que hizo eco de la entrada del atacante le dio al código una entrada.
El impacto, según los investigadores: el código podría enumerar las conversaciones de la víctima, leer un chat privado que nunca se compartió y enviar parte del mismo a un servidor externo. En su prueba enviaron sólo una pequeña porción seleccionada. Lo describen como una ruta práctica de robo de datos entre usuarios, que de hecho significa acceso a todo lo que la cuenta de la víctima puede hacer en la aplicación web.
Qué hay detrás de esto: Esta es una lección clásica de seguridad web, no específica de IA. Se alinearon tres debilidades: se confiaba en los mensajes entre los componentes de la página sin controles, se aceptaba HTML sin formato y se creaban marcos sin un sandbox. Los investigadores señalan que la política de seguridad de contenidos era sólo una capa de respaldo y resultó ser el último muro en pie. La línea de tiempo muestra un proceso normal y responsable: informe el 18 de octubre, reproducción y severidad mejorada el 21 de octubre, correcciones parciales el 22 y 23 de octubre, ambas interfaces web corregidas el 26 de octubre.
Qué significa esto para usted: No necesita hacer nada con respecto a este error específico, ya que está solucionado y no hay ninguna señal pública de que se haya utilizado contra usuarios reales. Sigue siendo un buen consejo para los hábitos: tenga un poco de cuidado con los enlaces a conversaciones compartidas de IA de personas que no conoce, mantenga el material confidencial fuera de los chats que no le gustaría que se filtre y trate las funciones de “compartir” como páginas públicas. Para los equipos que se basan en interfaces de chat de IA, la conclusión es sandbox cualquier cosa que represente contenido de terceros.
Fuentes
Fuentes: https://www.parameter.ai/labs/we-found-a-gap-at-openai
DeepMind mapea los tipos de bosques del mundo con un detalle de 10 metros
ForTy, un nuevo mapa Google DeepMind y World Resources Institute, clasifica la tierra global en bosque primario, de rebrote, plantado y de plantación, con límites de precisión honestos.
