Des chercheurs montrent comment un lien ChatGPT partagé aurait pu lire vos discussions privées

Les chercheurs en sécurité de Parameter ont décrit une faille dans l’application Web de ChatGPT qui, jusqu’au 26 octobre, aurait pu permettre à un lien de partage public piégé d’exécuter le code d’un attaquant dans la session connectée d’un visiteur. La seule action requise de la part de la victime était d’ouvrir le lien. OpenAI l’a corrigé, l’a évalué P1 (son niveau de gravité élevée, augmenté à partir d’un P2 initial) et a payé une prime de 5 000 $.

Comment cela a fonctionné, en termes simples. Une conversation partagée contenait un graphique qui chargeait MathLive, une bibliothèque d’entrée mathématique. MathLive écoute les messages provenant d’autres parties de la page et un composant de prévisualisation HTML, qui a été placé en bac à sable sur un domaine distinct, pourrait lui envoyer des messages. MathLive n’a pas vérifié qui les envoyait et n’a pas nettoyé le code HTML reçu, de sorte que le balisage fourni par l’attaquant s’est retrouvé dans la page principale ChatGPT. Ce balisage a créé un cadre sans bac à sable qui a hérité de l’identité de ChatGPT. Une politique de sécurité du contenu (un règlement du navigateur limitant les scripts pouvant être exécutés) bloquait les scripts en ligne, mais autorisait YouTube, et un rappel YouTube faisant écho aux entrées de l’attaquant permettait au code d’entrer.

L’impact, selon les chercheurs : le code pourrait répertorier les conversations de la victime, lire une discussion privée qui n’a jamais été partagée et en envoyer une partie à un serveur externe. Dans leur preuve, ils n’ont envoyé qu’une petite partie sélectionnée. Ils le décrivent comme une voie pratique de vol de données entre utilisateurs, ce qui signifie en fait l’accès à tout ce que le compte de la victime peut faire dans l’application Web.

Qu’est-ce qu’il y a derrière : Il s’agit d’une leçon classique sur la sécurité Web, et non spécifique à l’IA. Trois faiblesses s’alignaient : les messages entre les composants de la page étaient approuvés sans vérification, le HTML brut était accepté et les cadres étaient créés sans sandbox. Les chercheurs notent que la politique de sécurité du contenu n’était qu’une couche de sauvegarde et qu’elle s’est avérée être le dernier rempart. La chronologie montre un processus normal et responsable : rapport le 18 octobre, reproduction et mise à niveau de la gravité le 21 octobre, correctifs partiels les 22 et 23 octobre, les deux interfaces Web corrigées le 26 octobre.

Ce que cela signifie pour vous : Vous n’avez rien à faire concernant ce bug spécifique, car il est corrigé et il n’y a aucun signe public indiquant qu’il a été utilisé contre de vrais utilisateurs. C’est toujours une bonne incitation à adopter des habitudes : soyez un peu prudent avec les liens vers des conversations partagées par l’IA de personnes que vous ne connaissez pas, gardez les contenus sensibles hors des discussions que vous ne voudriez pas divulguer et traitez les fonctionnalités de “partage” comme des pages publiques. Pour les équipes qui s’appuient sur des interfaces de chat IA, il faut retenir sandbox de tout ce qui restitue du contenu tiers.

Sources

• Parameter : Faites le calcul, comment nous avons repris les comptes ChatGPT