ลิงก์แชรต ChatGPT อันตรายอาจรันโค้ดของผู้โจมตีและเข้าถึงแชตส่วนตัว

ลิงก์แชรต ChatGPT ที่สร้างโดยผู้โจมตีอาจทำให้โค้ดของผู้โจมตีทำงานภายในเซสชันของผู้ที่เปิดลิงก์ หากผู้เปิดล็อกอินอยู่ ผู้โจมตีอาจอ่านบทสนทนาส่วนตัวใน ChatGPT ได้ ประเด็นสำคัญคือผลกระทบต่อข้อมูลของผู้ใช้ที่เปิดลิงก์

ผู้ค้นพบช่องโหว่คือนักวิจัยด้านความปลอดภัยจาก Parameter พวกเขาสาธิตให้เห็นว่าลิงก์ที่เป็นอันตรายสามารถใช้เซสชันที่ผู้ใช้ล็อกอินอยู่เพื่อเรียกให้โค้ดของผู้โจมตีทำงาน จากนั้นผู้โจมตีจึงสามารถอ่านบทสนทนาส่วนตัวของผู้ที่เปิดลิงก์ได้ ความเสี่ยงจึงเกี่ยวข้องกับทั้งการเปิดลิงก์และสิทธิ์ของเซสชันที่เปิดอยู่

ลิงก์แชรตอันตรายทำงานอย่างไร

สิ่งที่การทดสอบของ Parameter ชี้ให้เห็นคือ โค้ดของผู้โจมตีจะทำงานในบริบทของเซสชันที่เปิดลิงก์ผ่านผู้ใช้ที่ล็อกอินอยู่ แนวคิดสำคัญจึงอยู่ที่การเชื่อมโยงระหว่างลิงก์ที่เปิดกับสิทธิ์และข้อมูลที่มีอยู่ในบัญชี ความเสี่ยงจึงไม่ได้จำกัดอยู่เพียงการเปิดหน้าแชรตที่ผู้ใช้คาดหวัง

เป้าหมายของการโจมตีคือผู้ที่เปิดลิงก์ ผู้ใช้จึงต้องระวังความเสี่ยงที่อาจเกิดขึ้นกับทุกคนที่คลิกลิงก์ขณะเข้าใช้งาน ChatGPT ผ่านเซสชันที่ล็อกอินอยู่ การพิจารณาความปลอดภัยจึงต้องคำนึงถึงสิ่งที่โค้ดในลิงก์อาจทำได้ในระหว่างที่เซสชันยังใช้งานอยู่

ผลกระทบต่อข้อมูลส่วนตัว

ผลกระทบที่นักวิจัยระบุชัดเจนคือการเข้าถึงบทสนทนาส่วนตัวของผู้ใช้ที่เปิดลิงก์ ข้อมูลดังกล่าวอาจรวมถึงประวัติการสนทนาที่ผู้ใช้เคยสร้างไว้ในบัญชี เพราะโค้ดทำงานภายในเซสชันที่เข้าสู่ระบบแล้ว ผู้โจมตีจึงทำงานอยู่ภายในสภาพแวดล้อมของเซสชันที่เปิดอยู่ ซึ่งเปิดโอกาสให้เข้าถึงข้อมูลส่วนตัวได้

ความเสี่ยงยังเกี่ยวข้องกับการที่ผู้ใช้เปิดลิงก์จากผู้อื่น เพราะลิงก์แชรตเป็นช่องทางที่ทำให้ผู้อื่นส่งเนื้อหาเข้ามาในเซสชันของผู้ใช้ได้ หากเนื้อหาในลิงก์ถูกปรับให้เป็นอันตราย โค้ดของผู้โจมตีสามารถทำงานและนำไปสู่การเข้าถึงข้อมูลส่วนตัวได้ เหตุการณ์นี้จึงแสดงให้เห็นว่าลิงก์แชรตอาจมีผลต่อข้อมูลภายในเซสชันโดยตรง

การแจ้งช่องโหว่ผ่าน OpenAI

ทีมงานของ Parameter รายงานช่องโหว่ผ่านโครงการแก้ไขข้อบกพร่องของ OpenAI เมื่อวันที่ 18 ตุลาคม โครงการดังกล่าวเป็นช่องทางที่ใช้แจ้งช่องโหว่ที่ค้นพบจากนักวิจัย การแจ้งผ่านช่องทางนี้ทำให้เรื่องดังกล่าวเข้าสู่ขั้นตอนการตรวจสอบและแก้ไขของผู้ให้บริการ

ข้อมูลที่เผยแพร่เกี่ยวกับเหตุการณ์นี้ระบุลำดับเวลาที่สำคัญอย่างชัดเจน นักวิจัยแจ้งเรื่องเมื่อ 18 ตุลาคม หลังจากนั้น OpenAI ใช้เวลาอีก 8 วันในการแก้ไข ระยะเวลาดังกล่าวนับจากวันที่แจ้งช่องโหว่จนถึงการแก้ไขปัญหาที่เกี่ยวข้อง

ความรุนแรงและการแก้ไข

หลังการแก้ไข OpenAI จัดระดับช่องโหว่นี้เป็น P1 ซึ่งเป็นหมวดความรุนแรงที่สูงที่สุดของบริษัท การจัดอันดับดังกล่าวสอดคล้องกับผลกระทบที่อาจเกิดขึ้นกับข้อมูลส่วนตัวของผู้ใช้ เพราะการรันโค้ดของผู้โจมตีในเซสชันที่ล็อกอินอยู่เปิดโอกาสให้เข้าถึงบทสนทนาส่วนตัวได้ ไม่ใช่เพียงการกระทบด้านการแสดงผลหรือการใช้งานหน้าเว็บ

OpenAI แก้ไขปัญหาภายใน 8 วันหลังจากได้รับรายงาน ดังนั้นช่องโหว่ที่ Parameter เปิดเผยไม่ควรถูกมองเป็นเพียงข้อกังวลเชิงทฤษฎี แต่เป็นความเสี่ยงที่เกิดขึ้นได้จริงกับเซสชันที่เปิดอยู่ และได้รับการดำเนินการแก้ไขแล้ว ข้อสรุปจากเหตุการณ์คือ ลิงก์แชรตที่เป็นอันตรายอาจนำไปสู่การรันโค้ดในเซสชันและการเปิดเผยบทสนทนาส่วนตัวได้

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th