وأوضحت الشركة أن الهجوم استهدف طريقة تعامل التطبيق مع محتوى المحادثات المشتركة، إذ تمكن الباحثون من استغلال خلل برمجي للوصول إلى بيانات أخرى داخل حساب المستخدم، بما في ذلك محادثات لم يسبق له مشاركتها، وإرسال أجزاء منها إلى خادم خارجي.
وبحسب التقرير، كانت شركة «أوبن إيه آي»، المطورة لشات جي بي تي، قد عالجت الثغرة قبل نشر تفاصيلها، بعدما أبلغها الباحثون بها عبر برنامج مكافآت اكتشاف الأخطاء الأمنية في 18 أكتوبر، وأصبح إصدارا التطبيق المخصصان للويب محصنين ضد الهجوم منذ 26 أكتوبر.
وأكدت «باراميتر» أنها لم ترصد تعرض مستخدمين فعليين للاختراق، مشيرة إلى أن اختبارات الهجوم أُجريت باستخدام حسابات الشركة نفسها.
كيف استغل المهاجمون رابط محادثة مشتركة في شات جي بي تي؟
بدأت آلية الاختراق بإنشاء محادثة عادية على شات جي بي تي تتضمن معاينة لمحتوى HTML ورسمًا بيانيًا، ثم مشاركة رابط المحادثة مع المستخدم المستهدف عبر البريد الإلكتروني أو تطبيقات المراسلة.
واعتمد الهجوم على مكتبة MathLive التي يستخدمها التطبيق لتوفير لوحة مفاتيح تتيح إدخال المعادلات الرياضية عند إنشاء الرسوم البيانية. واكتشف الباحثون أن لوحة المفاتيح كانت تقبل رسائل واردة من نوافذ أخرى، وتدرج محتوى HTML المرفق بها داخل الصفحة دون التحقق من مصدره.
وأدى هذا الخلل إلى إنشاء إطار برمجي غير معزول أمنيًا، يتعامل معه المتصفح باعتباره جزءًا من موقع شات جي بي تي، كما استغل الباحثون سماح قواعد الأمان بتحميل نصوص برمجية من يوتيوب، لتشغيل كود جافا سكريبت خاص بهم.
الوصول إلى المحادثات الخاصة واحتمال السيطرة على الحساب
تمكن الكود الخبيث من العمل داخل جلسة المستخدم المسجل دخوله إلى شات جي بي تي، وهو ما أتاح له الوصول إلى قائمة المحادثات وفتح محادثات خاصة لم يسبق مشاركتها، ثم إرسال أجزاء من محتواها إلى خادم خارجي.
ولم يقتصر الخطر على الاطلاع على المحادثات، إذ أوضحت «باراميتر» أن استغلال واجهات برمجة التطبيقات الداخلية للتطبيق كان من الممكن أن يسمح بتنفيذ إجراءات نيابة عن المستخدم، بما قد يصل إلى الاستيلاء على الحساب.
وفي البداية، تطلبت إحدى نسخ الهجوم ضغط المستخدم على زر معاينة الرابط مرة واحدة، لكن الباحثين طوروا لاحقًا نسخة أكثر تطورًا تفتح المعاينة تلقائيًا، ما جعل فتح الرابط وحده كافيًا لبدء تنفيذ الهجوم.
وبذلك، لم يكن المهاجم بحاجة إلى معرفة كلمة مرور المستخدم، بل كان يستغل وجود جلسة تسجيل دخول نشطة على جهاز الضحية، إلى جانب الخلل الموجود في طريقة عرض محتوى المحادثة المشتركة.
أوبن إيه آي تصلح الثغرة وتمنح الباحثين 5 آلاف دولار
تحققت «أوبن إيه آي» من نتائج الباحثين عبر إعادة تنفيذ الهجوم، ورفعت مستوى خطورة الثغرة من P2 إلى P1 في 21 أكتوبر، كما دفعت مكافأة إجمالية بلغت 5 آلاف دولار مقابل اكتشافها والإبلاغ عنها.
وفي المقابل، رأى المطور سايمون ويلسون أن قيمة المكافأة منخفضة نسبيًا مقارنة بخطورة الثغرة والإمكانات التي كان يمكن أن تتيحها للمهاجمين.
وشهدت مكتبة MathLive أيضًا تعديلًا على إعداداتها الافتراضية، إذ أصبح الإصدار 0.111.2، الذي صدر في 31 أكتوبر، يقبل الرسائل الواردة من النطاق الخاص به فقط، ما لم يسمح المطور صراحة باستقبال رسائل من نطاقات أخرى.
كيف تحمي محادثاتك وروابط المشاركة في شات جي بي تي؟
لا يحتاج المستخدمون إلى اتخاذ إجراء خاص لمعالجة الثغرة المكتشفة، بعدما أكدت التقارير أن «أوبن إيه آي» أصلحت الخلل من جانبها، لكن يظل من الضروري مراجعة روابط المحادثات المشتركة التي سبق إنشاؤها، لأن أي شخص يمتلك أحد هذه الروابط يمكنه الاطلاع على المحادثة وإعادة مشاركتها.
وتوضح صفحة المساعدة التابعة للشركة أن روابط المحادثات المشتركة لا يمكن تخصيصها لأشخاص بعينهم، كما لا تتضمن خيارًا لتحديد موعد انتهاء صلاحيتها تلقائيًا.
ويمكن مراجعة الروابط التي أنشأها المستخدم من خلال الدخول إلى إعدادات الحساب (Settings)، ثم اختيار عناصر التحكم في البيانات (Data controls)، والضغط على «إدارة» (Manage) بجوار قسم الروابط المشتركة (Shared links).
وتتيح هذه الصفحة حذف الروابط بشكل منفرد أو إزالتها جميعًا، كما يؤدي حذف المحادثة الأصلية إلى حذف الرابط المرتبط بها.
ومن الإجراءات الاحترازية المفيدة أيضًا فتح الروابط الواردة من مصادر غير معروفة باستخدام نافذة تصفح خاصة، لا يكون المستخدم مسجلًا من خلالها في حساب شات جي بي تي، إذ كان الهجوم المكتشف يعتمد على وجود جلسة تسجيل دخول نشطة حتى يتمكن من الوصول إلى بيانات الحساب.
هل يوفر قفل المحادثات برمز PIN حماية كاملة؟
تسلط الواقعة الضوء على أهمية تأمين سجلات المحادثات، خاصة مع تزايد استهداف بيانات المستخدمين عبر الإضافات والروابط الخارجية، إذ سبق رصد إضافات لحظر الإعلانات تقرأ محادثات المستخدمين على شات جي بي تي وجيميناي دون علمهم.
كما أن ميزة قفل المحادثات الفردية باستخدام رمز PIN، التي أتاحها شات جي بي تي، تساعد على منع الأشخاص الذين يمكنهم الوصول إلى جهاز المستخدم من الاطلاع على محادثاته المقفلة، لكنها لا توفر تشفيرًا لمحتوى المحادثات.
وتؤكد هذه التطورات أن حماية الخصوصية عند استخدام أدوات الذكاء الاصطناعي لا تعتمد فقط على كلمات المرور ووسائل قفل الحسابات، بل تتطلب أيضًا الانتباه إلى الروابط المشتركة ومراجعة إعدادات الخصوصية والتعامل بحذر مع المحتوى الوارد من مصادر غير موثوقة.
