حفره امنیتی ChatGPT امکان سرقت چت‌های خصوصی را فراهم می‌کرد

پژوهشگران امنیت سایبری شرکت Check Point یک آسیب‌پذیری در ChatGPT کشف کردند که امکان دور زدن قابلیت امنیتی Lockdown Mode را فراهم می‌کرد. این ضعف می‌توانست در شرایط خاص برای سرقت پیام‌های خصوصی، استخراج اطلاعات حساس، نمایش صفحات جعلی فیشینگ و حتی انتشار بدافزار مورد استفاده قرار بگیرد.

نکته مهم این است که آسیب‌پذیری مذکور به OpenAI گزارش شد و این شرکت در ۱۸ سپتامبر ۲۰۲۶ آن را برطرف کرد. بنابراین، این خبر درباره یک نقص امنیتی شناسایی‌شده و اصلاح‌شده است، نه وجود یک حفره تأییدشده و فعال در نسخه فعلی ChatGPT.

قابلیت Lockdown Mode در ChatGPT چیست؟

Lockdown Mode یک قابلیت امنیتی پیشرفته در ChatGPT است که برای کاهش خطر خروج اطلاعات حساس از طریق حملات تزریق پرامپت (Prompt Injection) طراحی شده است.

در این نوع حمله، مهاجم دستورهای مخربی را داخل محتوایی مانند یک صفحه وب، فایل یا متن قرار می‌دهد. اگر هوش مصنوعی این دستورها را به‌اشتباه به‌عنوان فرمان معتبر پردازش کند، ممکن است رفتاری ناخواسته انجام دهد یا اطلاعاتی را در اختیار مهاجم قرار دهد.

حالت Lockdown با محدودکردن ارتباطات خروجی و دسترسی برخی قابلیت‌ها به سرویس‌های خارجی، احتمال نشت اطلاعات را کاهش می‌دهد. برای مثال، دسترسی زنده به وب، Deep Research، حالت Agent و برخی قابلیت‌های مرتبط با اتصال به سرویس‌های خارجی در این وضعیت محدود یا غیرفعال می‌شوند.

بااین‌حال، پژوهش جدید نشان داد که حتی وجود چنین لایه امنیتی نیز نمی‌تواند تمام مسیرهای احتمالی سوءاستفاده از محیط برنامه را مسدود کند.

هکرها چگونه محدودیت امنیتی ChatGPT را دور می‌زدند؟

ریشه آسیب‌پذیری به نحوه نمایش پیش‌نمایش صفحات HTML در محیط ChatGPT مربوط می‌شد. این قابلیت به کاربران اجازه می‌دهد محتوای HTML را مستقیماً در محیط برنامه مشاهده کنند.

برای جلوگیری از دسترسی این محتوا به اطلاعات حساس، پیش‌نمایش HTML در یک محیط ایزوله یا Sandbox اجرا می‌شود. این محیط باید مانع دسترسی مستقیم محتوای اجراشده به داده‌های داخلی برنامه و ارتباط غیرمجاز با وب‌سایت‌های خارجی شود.

اما پژوهشگران Check Point متوجه شدند نحوه مدیریت پنجره‌های بازشونده یا Popup در این ساختار یک ضعف امنیتی دارد.

در این روش، مهاجم می‌توانست با استفاده از قاب‌های تو‌در‌تو (Nested Frames) به تابعی برای بازکردن پنجره جدید دسترسی پیدا کند که مشمول همان محدودیت‌های امنیتی پیش‌نمایش اصلی نبود. در نتیجه، محتوای مخرب می‌توانست از محیط ایزوله خارج شود و بخشی از محدودیت‌های Lockdown Mode را دور بزند.

این مسیر جایگزین به مهاجم اجازه می‌داد سناریوهایی برای دسترسی به اطلاعات حساس و ارسال آن‌ها به مقصدی تحت کنترل خود طراحی کند.

اطلاعات خصوصی کاربران چگونه در معرض خطر قرار می‌گرفت؟

طبق بررسی Check Point، این آسیب‌پذیری فقط به نمایش یک پیام مخرب محدود نبود و می‌توانست برای چند نوع حمله مورد استفاده قرار بگیرد:

• سرقت اطلاعات چت‌ها: مهاجم می‌توانست در شرایط مشخص، محتوای مکالمات را استخراج و به سرور خود ارسال کند.

• فیشینگ و سرقت اطلاعات ورود: امکان نمایش صفحات جعلی ورود به حساب کاربری و فریب کاربران وجود داشت.

• انتشار بدافزار: مهاجم می‌توانست پنجره‌هایی شبیه پیام‌های رسمی ChatGPT نمایش دهد و کاربران را به دریافت فایل مخرب ترغیب کند.

• دست‌کاری محیط برنامه: برخی سناریوها امکان نمایش محتوای جعلی در محیطی با ظاهر و نشانه‌های بصری ChatGPT را فراهم می‌کردند.

یکی از نکات نگران‌کننده این بررسی، امکان اجرای برخی سناریوها بدون نیاز به کلیک مستقیم کاربر بود. پژوهشگران نشان دادند که در نسخه دسکتاپ ChatGPT، یک GPT مخرب می‌توانست در شرایط آزمایشی پیام‌های مکالمه را بدون تعامل مستقیم کاربر به سرور مهاجم منتقل کند.

البته این موضوع به معنای آن نیست که تمام کاربران ChatGPT قربانی چنین حمله‌ای شده‌اند یا پیام‌های آن‌ها واقعاً سرقت شده است؛ بلکه پژوهشگران امکان فنی اجرای این سناریو را در شرایط مشخص نشان داده‌اند.

آیا این حمله فقط نسخه دسکتاپ ChatGPT را تهدید می‌کرد؟

اگرچه جدی‌ترین سناریوی سرقت اطلاعات بدون کلیک در نسخه دسکتاپ ChatGPT نمایش داده شد، پژوهشگران تأکید کردند که ضعف کشف‌شده صرفاً به یک نسخه خاص محدود نبود و به محیط کلی برنامه مربوط می‌شد.

مهاجم می‌توانست بسته به شرایط حمله از مسیرهایی مانند یک پرامپت مخرب، GPT سفارشی آلوده یا مکالمه اشتراک‌گذاری‌شده استفاده کند.

برای مثال، کاربر ممکن بود با یک GPT سفارشی یا گفت‌وگویی که محتوای مخرب در آن قرار گرفته است تعامل کند و بدون اطلاع از وجود دستورهای پنهان، در معرض سناریوی حمله قرار بگیرد.

این موضوع اهمیت بررسی امنیت تمام اجزای یک دستیار هوش مصنوعی را نشان می‌دهد؛ زیرا امنیت چنین سرویسی فقط به مدل هوش مصنوعی وابسته نیست و بخش‌هایی مانند نمایش کد، محیط اجرای محتوا و ارتباطات شبکه نیز اهمیت دارند.

OpenAI چه زمانی این آسیب‌پذیری را برطرف کرد؟

شرکت Check Point این آسیب‌پذیری را از طریق فرایند افشای مسئولانه به OpenAI گزارش کرد. طبق اعلام پژوهشگران، OpenAI در ۱۸ سپتامبر ۲۰۲۶ اصلاحیه‌ای منتشر کرد که مجوزهای Sandbox مورد سوءاستفاده را حذف می‌کرد.

Check Point پس از اعمال اصلاحات، دوباره روش حمله را آزمایش کرد و تأیید کرد که مسیر سوءاستفاده گزارش‌شده دیگر کار نمی‌کند.

بنابراین، کاربران نباید این خبر را به‌معنای فعال‌بودن همان آسیب‌پذیری در حال حاضر در نظر بگیرند. بااین‌حال، استفاده از نسخه به‌روز برنامه و رعایت اصول امنیتی همچنان اهمیت دارد.

آیا Lockdown Mode همچنان برای محافظت از اطلاعات کافی است؟

اصلاح این آسیب‌پذیری به معنای بی‌نیازی از قابلیت Lockdown Mode نیست. این ویژگی همچنان می‌تواند با محدودکردن ارتباطات خروجی، احتمال نشت اطلاعات از طریق برخی حملات تزریق پرامپت را کاهش دهد.

بااین‌حال، خود OpenAI نیز تأکید می‌کند که Lockdown Mode تمام حملات تزریق پرامپت را متوقف نمی‌کند و تضمینی برای جلوگیری از هر نوع نشت اطلاعات نیست. این قابلیت همچنین تنظیمات مربوط به حافظه، بارگذاری فایل‌ها یا استفاده از مکالمات برای بهبود مدل‌ها را تغییر نمی‌دهد.

برای کاهش خطرات امنیتی بهتر است کاربران:

• اطلاعات محرمانه و رمزهای عبور را در اختیار GPTهای ناشناس قرار ندهند.

• هنگام استفاده از GPTهای سفارشی، به سازنده و اعتبار آن‌ها توجه کنند.

• از بازکردن لینک‌ها و دریافت فایل‌های ناشناس خودداری کنند.

• برنامه ChatGPT را به‌روز نگه دارند.

• در صورت استفاده از اطلاعات حساس، قابلیت‌های امنیتی متناسب با نیاز خود را فعال کنند.

منابع: