Egy biztonsági hiba miatt egy rosszindulatúan létrehozott megosztott ChatGPT-hivatkozás megnyitásával külső személyek hozzáférhettek a felhasználók privát beszélgetéseihez. Az OpenAI már javította a sebezhetőséget, ezért ezzel a hibával kapcsolatban nincs további teendő.
- A Parameter biztonsági cég kutatói fedezték fel a támadási láncot, amely a ChatGPT megosztott beszélgetéseinek funkcióját használta ki.
- A hiba a MathLive programkönyvtár billentyűzetének nem biztonságos üzenetkezeléséből adódott: az ellenőrzés nélkül beillesztett HTML révén a támadó saját JavaScript-kódot futtathatott a böngészőben.
- A kód az áldozat bejelentkezett munkamenetében futott, így a támadó lekérhette a csevegések listáját, megnyithatta a privát beszélgetéseket, és műveleteket is végrehajthatott a fiókban.
- Az OpenAI október 26-án lezárta a biztonsági rést, a kutatók pedig 5000 dolláros jutalmat kaptak a hiba bejelentéséért.
- A MathLive 0.111.2-es verziója már alapértelmezetten csak a saját webhelyéről fogad üzeneteket, bár a fejlesztők ettől eltérhetnek; ez csökkenti az ilyen visszaélések kockázatát.
- Bár a hiba elhárult, érdemes átnézni és szükség esetén törölni a korábbi megosztott hivatkozásokat: ezek hozzáférése nem korlátozható meghatározott személyekre, és nem állítható be lejáratuk.
- Óvatosságból javasolt az ismeretlen forrásból származó hivatkozásokat kijelentkezett állapotban, privát böngészőablakban megnyitni.
