ChatGPT eklentisindeki açıklar bilgisayar korsanlarının diğer hesapları ele geçirmesine izin vermiş olabilir

Yeni bir araştırma, ChatGPT’de bilgisayar korsanlarının kullanıcıların GitHub gibi diğer hesaplarını ele geçirmelerine olanak tanıyabilecek güvenlik açıkları buldu.

Salt Security, çeşitli ChatGPT eklentilerinin kritik güvenlik açıklarına sahip olduğunu keşfetti. Bu eklentiler, yapay zeka aracının diğer web sitelerine erişmesine ve GitHub’da kod işleme ve Google Drive’dan veri alma gibi belirli görevleri yerine getirmesine olanak tanıyor.

Bu kusurlar sayesinde, tehdit aktörleri üçüncü taraf hesaplarını ele geçirebilir ve buradaki hassas verilere erişebilirdi. Kusurlar o zamandan beri düzeltildi.

Eklenti endişeleri

Salt Security ayrıca eklentilere benzeyen GPT’lerin de benzer bir risk oluşturduğunu belirtiyor. Bunlar ChatGPT’nin herhangi bir geliştiricinin yayınlayabileceği özel sürümleridir.

ChatGPT eklentilerinde üç ayrı açık bulundu. İlki, kullanıcılar yeni eklentiler yüklediğinde bulundu. ChatGPT kullanıcıya yüklemeyi onaylayan bir kod gönderir. Ancak kötü niyetli kişiler kullanıcılara bunun yerine kötü niyetli bir eklentiyi onaylayan bir kod göndermiş olabilir.

İkincisi, ChatGPT eklentilerini geliştirmek için kullanılan bir site olan PluginLab’da bulundu. Site, kullanıcı hesaplarının kimlik doğrulamasını düzgün bir şekilde yapamamış ve bu da bilgisayar korsanlarının hesapları ele geçirmesine neden olmuş olabilir. Bu durumdan etkilenen eklentilerden biri ChatGPT ve GitHub arasında entegrasyon sağlayan “AskTheCode” idi.

Üçüncüsü birkaç eklentide bulundu ve OAuth yeniden yönlendirme manipülasyonunu içeriyordu. Bu, hesapların ele geçirilmesine de olanak sağlayabilirdi. URL’ler eklentiler tarafından doğrulanmadığından, saldırganlar kullanıcılara kimlik bilgilerini çalmak için kullanılan kötü amaçlı bağlantılar gönderebilirdi.

Salt Security, kusurları keşfettikten sonra prosedürü izlediğini ve OpenAI ile etkilenen diğer tarafları bilgilendirdiğini söylüyor. Sorunların hızlı bir şekilde giderildiğini ve vahşi doğada istismar edildiğine dair bir kanıt olmadığını iddia ediyor.