بر اساس گزارشی از خبرگزاری خبرآنلاین و سایت دیجیاتو، شرکت امنیت سایبری «پارامتر» نواقص این آسیب‌پذیری را شناسایی کرده و جزئیات نحوه حمله را به اشتراک گذاشته است. این محققان در تاریخ ۱۸ اکتبر (۲۶ مهر) نقص مذکور را از طریق برنامه شکار باگ به اوپن‌ای‌آی اطلاع دادند و این شرکت بعد از تاریخ ۲۶ اکتبر (۴ آبان) اقدام به جلوگیری از بروز حمله نمود.
در این نوع حمله، مهاجم با ایجاد یک گفت‌وگوی اشتراک‌گذاری‌شده شامل پیش‌نمایش HTML و نمودار، از آسیب‌پذیری موجود در کتابخانه‌ای به نام «MathLive» بهره می‌گرفت. این کتابخانه به پیام‌های دریافتی از سایر پنجره‌ها بدون هیچ گونه اعتبارسنجی پاسخ می‌داد و امکان تزریق کد HTML به صفحات را مهیا می‌ساخت. به این ترتیب، مهاجم قادر بود به لیست مکالمات کاربر دسترسی پیدا کند و اطلاعات مربوطه را به یک سرور خارجی ارسال کند.
در مراحل پیچیده‌تر این حمله، مهاجم می‌توانست از طریق رابط برنامه‌نویسی کاربردی (API) اقدامی را به نام قربانی انجام دهد؛ عملکردی که پژوهشگران آن را تصاحب حساب کاربری نامیده‌اند.
اوپن‌ای‌آی این آسیب‌پذیری را در دسته بحرانی P1 ارزیابی کرده است. همچنین شرکت پارامتر اعلام کرده که هیچ نشانه‌ای از آسیب دیدن کاربران واقعی را مشاهده نکرده و تنها آزمایش این حمله بر روی حساب‌های آزمایشی خود انجام داده است.
با توجه به رفع مشکل، توصیه می‌شود که کاربران لینک‌های اشتراک‌گذاری‌شده قبلی خود را مورد بررسی مجدد قرار دهند؛ چراکه این لینک‌ها برای هر کسی که به آن‌ها دسترسی داشته باشد، قابل مشاهده و بازنشر هستند. کاربران می‌توانند از طریق بخش «Data controls» در تنظیمات چت‌جی‌پی‌تی با استفاده از گزینه «Manage» در قسمت «Shared links»، لینک‌های ایجاد شده را مشاهده و در صورت نیاز حذف نمایند. همچنین، با حذف گفت‌وگوی اصلی، لینک مربوط به آن نیز غیرقابل استفاده خواهد شد.
اوپن‌ای‌آی اعلام کرده که برای رفع این مشکل، نیازی به انجام هرگونه به‌روزرسانی از سوی کاربران وجود ندارد.
۲۲۷۲۲۷
نظرات کاربران