Check Point: פרצה ב-ChatGPT עקפה את Lockdown Mode ואפשרה לגנוב שיחות שלמות

חוקרי Check Point מצאו דרך לעקוף את Lockdown Mode של ChatGPT, מצב ההגנה שנועד בדיוק לעצור דליפת מידע משיחות. לפי המחקר, תוקף יכול היה לשלוח לשרת שלו את כל היסטוריית השיחות של הקורבן. הוא יכול היה גם להציג חלונות פישינג ולהפיץ נוזקה. OpenAI כבר סגרה את הפרצה.

מה עושה Lockdown Mode, ואיפה הוא נכשל

OpenAI השיקה את Lockdown Mode בפברואר, תחילה לארגונים. ביוני היא פתחה אותו גם לחשבונות אישיים ולחשבונות Business בהרשמה עצמית. המצב חוסם את הערוצים שדרכם מידע יכול לצאת מהשיחה. למשל, גלישה חיה, טעינת תמונות מהרשת, הורדת קבצים, Agent Mode ומחברים חיצוניים.

המטרה היא להגן מפני prompt injection. זו מתקפה שבה הוראות זדוניות מוסתרות בתוך דף, מסמך או צ׳אט, וגורמות לבוט לפעול נגד המשתמש. מי שמפעיל את המצב מוותר על חלק מהיכולות, וזוכה בתמורה לשכבת הגנה נוספת.

הבעיה הגיעה מכיוון לא צפוי. בפברואר הוסיפה OpenAI לבלוקים של קוד תצוגה מקדימה של דפי HTML. לפי Check Point Research, הדף רץ בתוך ארגז חול, כלומר סביבה מבודדת מהממשק עצמו. אבל לארגז החול הזה היו שתי הרשאות פתוחות. אחת התירה לפתוח חלונות קופצים, והשנייה אפשרה לחלון כזה לצאת מהבידוד.

איך התוקף עקף את Lockdown Mode

ChatGPT ניסה לחסום חלונות קופצים בעזרת פונקציה משלו. החוקר אלכסיי בוחטייב גילה שמסגרת פנימית נוספת בתוך הדף מספקת את הפונקציה המקורית של הדפדפן. כך נפתח חלון אמיתי, מחוץ לבידוד ומחוץ לפיקוח של Lockdown Mode.

בחלון הזה התוקף שולט בכל התוכן. הכותרת שלו, למשל, לא חייבת לחשוף שהוא זר. לכן המשתמש עלול להאמין שהוא עדיין בתוך ChatGPT. Check Point תיארה שלוש דרכים להפעיל את המתקפה: פרומפט זדוני, GPT זדוני או שיחה משותפת.

המצב החמור ביותר הוא באפליקציה למחשב, ChatGPT Classic. שם החלון נפתח גם בלי שהמשתמש לחץ על משהו. במילים אחרות, מספיק לנהל שיחה עם GPT זדוני כדי שהשיחות ידלפו בשקט. החוקרים הראו שם גם ניתוק בכוח של המשתמש מהחשבון. אחרי הניתוק, דף התחברות מזויף יכול לגנוב את הסיסמה.

בדפדפן המתקפה דרשה לחיצה אחת, אבל קל להסוות אותה. לפי החוקרים, הדפדפן לא חוסם הורדות אוטומטיות. בנוסף, הקורבן לא צריך אפילו חשבון ב-ChatGPT. מספיק שהוא פותח שיחה משותפת ולוחץ על התצוגה המקדימה.

למה זה חשוב גם אחרי התיקון

Check Point דיווחה ל-OpenAI על החולשה. ב-18 בספטמבר הודיעה OpenAI שהסירה את שתי ההרשאות הבעייתיות, והחוקרים וידאו שהשיטה כבר לא עובדת. אין צורך לעדכן דבר בצד שלכם.

הלקח רחב מהחולשה עצמה. Lockdown Mode חסם את כל הערוצים המוכרים, אבל פיצ׳ר נוחות חדש פתח ערוץ שאף אחד לא סגר. זו לא הפעם הראשונה: מוקדם יותר השנה מצאה Check Point ערוץ דליפה נסתר בסביבת הרצת הקוד של ChatGPT. גם שם OpenAI תיקנה את הבעיה.

לעסקים בישראל יש כאן שאלה מעשית. עובדים רבים מעלים ל-ChatGPT חוזים, נתוני לקוחות ודוחות כספיים. מצב הגנה מצמצם את הסיכון, אבל לא מבטל אותו. כפי שכתבו החוקרים, כל יכולת חדשה מרחיבה את שטח התקיפה.

עוד ב-GEEKLIK: OpenAI מוסיפה ל-ChatGPT מצב Lockdown Mode נגד prompt injection, תחילה לארגונים