وأوضح الباحث الأمني موكول جويال، في تقرير، أن الثغرة كانت تسمح بإنشاء محادثة خبيثة على ChatGPT ومشاركتها عبر ميزة مشاركة المحادثات المتاحة لجميع المستخدمين، بحيث يؤدي فتح الرابط إلى تشغيل تعليمات برمجية داخل حساب الضحية، تمنح المهاجم صلاحيات الوصول إلى بياناته والتصرف نيابة عنه.
ولم تقتصر خطورة الثغرة على الاطلاع على المحادثات، إذ كانت التعليمات البرمجية التي تمكن الباحثون من تشغيلها تتمتع بالصلاحيات نفسها التي تستخدمها منصة ChatGPT للتعامل مع الحساب المسجل دخوله، ما كان يتيح نظرياً تنفيذ إجراءات أخرى نيابة عن المستخدم.
واعتمد الهجوم على استغلال ميزة مشاركة المحادثات في ChatGPT، التي تتيح إنشاء رابط عام لمحادثة، بحيث يستطيع أي شخص يمتلكه الاطلاع على محتواها. وكان بإمكان المهاجم إعداد محادثة تتضمن عناصر برمجية خبيثة، ثم إرسال رابطها إلى الضحية عبر البريد الإلكتروني أو تطبيقات التراسل أو منشورات شبكات التواصل الاجتماعي.
وبمجرد فتح الرابط أثناء تسجيل دخول المستخدم إلى حسابه، تبدأ العناصر الخبيثة في العمل مستغلة الثغرة لتشغيل تعليمات برمجية بصلاحيات الحساب نفسه.
ولم يكن الهجوم يتطلب من الضحية تثبيت أي تطبيق، أو الانضمام إلى مشروع مشترك على المنصة، أو نسخ تعليمات برمجية وتشغيلها، كما لم يكن يتطلب استخدام أدوات المطورين في متصفح الإنترنت.
واختبر الباحثون الهجوم 3 مرات باستخدام حساب منفصل، وتمكنوا من إعادة تنفيذه حتى بعد إعادة تحميل صفحة ChatGPT بالكامل، إذ بدأ تشغيل التعليمات البرمجية الخبيثة بعد نحو 4.5 ثانية من فتح الرابط. (إرم نيوز)
أخبار متعلقة :