I ricercatori mostrano come un collegamento ChatGPT condiviso avrebbe potuto leggere le tue chat private

I ricercatori di sicurezza di Parameter hanno descritto un difetto nell’app web di ChatGPT che, fino al 26 ottobre, avrebbe potuto consentire a un collegamento di condivisione pubblica con trappole esplosive di eseguire il codice di un utente malintenzionato all’interno della sessione di accesso di un visitatore. L’unica azione necessaria da parte della vittima era l’apertura del collegamento. OpenAI lo ha corretto, valutandolo P1 (il suo livello di gravità elevata, aumentato da un P2 iniziale) e pagato una taglia di $ 5.000.

Come ha funzionato, in parole povere. Una conversazione condivisa conteneva un grafico che caricava MathLive, una libreria di input matematici. MathLive ascolta i messaggi provenienti da altre parti della pagina e un componente di anteprima HTML, che era in modalità sandbox su un dominio separato, potrebbe inviargli messaggi. MathLive non ha controllato chi li stava inviando e non ha ripulito l’HTML ricevuto, quindi il markup fornito dall’aggressore è finito nella pagina principale ChatGPT. Quel markup ha creato un frame senza sandbox che ha ereditato l’identità di ChatGPT. Una politica di sicurezza dei contenuti (un regolamento del browser che limita gli script che possono essere eseguiti) ha bloccato gli script in linea, ma ha consentito YouTube, e un callback YouTube che ha fatto eco all’input dell’aggressore ha consentito al codice di entrare.

L’impatto, secondo i ricercatori: il codice potrebbe elencare le conversazioni della vittima, leggere una chat privata che non è mai stata condivisa e inviarne parte a un server esterno. Nella loro prova hanno inviato solo una piccola parte selezionata. Lo descrivono come un pratico percorso di furto di dati tra utenti, che in effetti significa accesso a tutto ciò che l’account della vittima può fare nell’app web.

Cosa c’è dietro: Questa è una classica lezione sulla sicurezza web, non specifica per l’intelligenza artificiale. Sono stati evidenziati tre punti deboli: i messaggi tra i componenti della pagina erano considerati attendibili senza controlli, l’HTML non elaborato veniva accettato e i frame venivano creati senza sandbox. I ricercatori sottolineano che la politica di sicurezza dei contenuti era solo un livello di backup e si è rivelata l’ultimo muro in piedi. La sequenza temporale mostra un processo normale e responsabile: report il 18 ottobre, riproduzione e gravità aggiornata il 21 ottobre, correzioni parziali il 22 e 23 ottobre, entrambi i frontend web corretti il 26 ottobre.

Che cosa significa per te: Non devi fare nulla per questo bug specifico, poiché è stato corretto e non vi è alcun segno pubblico che sia stato utilizzato contro utenti reali. È comunque un buon suggerimento per le abitudini: fai un po’ di attenzione ai collegamenti alle conversazioni AI condivise da persone che non conosci, mantieni il materiale sensibile fuori dalle chat che non vorresti venisse divulgato e tratta le funzionalità di “condivisione” come pagine pubbliche. Per i team che si basano su interfacce di chat AI, il punto è sandbox tutto ciò che esegue il rendering di contenuti di terze parti.

Fonti

• Parameter: Fai i conti, come abbiamo rilevato gli account ChatGPT