ChatGPhish: ChatGPT İstifadəçilərini Phishing Hədəfinə Çevirən Yeni Boşluq
13rose
2 min read
OpenAI ChatGPT-də Aşkar Edilən Ciddi Zəiflik
Kibertəhlükəsizlik tədqiqatçıları, OpenAI-nin süni intellekt köməkçisi ChatGPT-də ciddi bir zəifliyi aşkar ediblər. “ChatGPhish” adlandırılan bu boşluq, ChatGPT-nin Markdown formatındakı linklərə və şəkillərə göstərdiyi gizli etimaddan sui-istifadə edərək prompt injection hücumlarını tətikləyir və Phishing hücumlarına qapı açır.
ChatGPhish Necə İşləyir?
Permiso Security tərəfindən aşkar edilən bu texnika, chatgpt.com cavab rendererin çat çıxışındakı Markdown linklərinə və şəkillərinə etibar etməsi prinsipinə əsaslanır. Permiso Security-nin tədqiqatçısı Ian Kenefick The Hacker News ilə bölüşdüyü hesabatda bildirib ki, “Bu etimad zərərli HTML və JavaScript-in inject edilməsinə imkan verir ki, bu da kukilərin oğurlanması, istifadəçi identifikasiya məlumatlarının toplanması və ixtiyari HTTP sorğuları kimi müxtəlif hücumlara şərait yaradır.”
Zəiflik, əsasən, istifadəçi ChatGPT-dən bir URL-dən məzmunu ümumiləşdirməsini istədikdə ortaya çıxır. AI köməkçisi, prinsipcə, təyin olunmuş URL-dən məzmunu əldə etmək üçün HTTP sorğuları edir və istifadəçi üçün xülasə yaradır.
Hücum Mexanizmi: URL Ümumiləşdirməsi
Permiso Security-nin tapıntılarına görə, ChatGPT tərəfindən ümumiləşdirilən veb səhifənin məzmununa Markdown vasitəsilə zərərli JavaScript əlavə etməklə, “chatgpt.com üçün cavab rendererinə nəzarət etmək və Phishing hücumları həyata keçirmək” mümkün olur. Bu Phishing hücumları istifadəçi identifikasiya məlumatlarını toplamaq, kukiləri oğurlamaq və ya istifadəçi adından ixtiyari HTTP sorğuları göndərmək üçün istifadə edilə bilər ki, bu da potensial olaraq hesabın təhlükəyə düşməsinə səbəb ola bilər.
Təsiri və Aradan Qaldırılması
Aşkar edilmiş ChatGPhish boşluğunun chatgpt.com platformasında mövcud olduğu bildirilir. Xoşbəxtlikdən, OpenAI məsələni qısa müddətdə həll edərək, 29 aprel 2024-cü il tarixində zəifliyi yamalayaraq aradan qaldırıb. Lakin bu hadisə, süni intellekt sistemlərinin, hətta ən etibarlı platformaların belə, kibertəhlükəsizlik risklərinə məruz qala biləcəyini bir daha nümayiş etdirir.
