OpenAI, Hassas ChatGPT Kullanıcı Verilerini Sızdırdığını Söylüyor

Sohbet geçmişi başlıklarını paylaşan aynı aksaklık, e-posta adreslerini ve ödeme bilgilerini de ifşa etmiş olabilir.

OpenAI, bir kullanıcının diğer kullanıcıların sohbet geçmişlerindeki başlıkları geri çağırmak için sistemdeki bir hatadan yararlanabilmesinin ardından Salı günü çok popüler olan ChatGPT botunu acil durum bakımı için çevrimdışına almak zorunda kaldı. Cuma günü şirket, olayla ilgili ilk bulgularını açıkladı.

Salı günkü olayda, kullanıcılar Reddit’te ChatGPT kenar çubuklarının diğer kullanıcıların önceki sohbet geçmişlerini gösterdiğine dair ekran görüntüleri yayınladı. Metnin kendisi değil, yalnızca konuşmanın başlığı görünüyordu. Buna cevaben OpenAI, araştırmak için botu yaklaşık 10 saat çevrimdışı tuttu. Bu araştırmanın sonuçları, daha derin bir güvenlik sorununu ortaya çıkardı: sohbet geçmişi hatası, ChatGPT Plus abonelerinin yüzde 1,2’sinin (aylık 20 ABD doları tutarında gelişmiş erişim paketi) kişisel verilerini de açığa çıkarmış olabilir.

“Pazartesi günü ChatGPT’yi çevrimdışı duruma getirmemizden önceki saatlerde, bazı kullanıcılar başka bir aktif kullanıcının adını ve soyadını, e-posta adresini, ödeme adresini, kredi kartı numarasının (yalnızca) son dört hanesini ve kredi kartını görebilirdi. Son kullanma tarihi. Tam kredi kartı numaraları hiçbir zaman ifşa edilmedi,” diye yazdı OpenAI ekibi Cuma günü. O zamandan beri sorun, OpenAI’nin Redis istemcisi açık kaynak kitaplığı redis-py olarak tanımladığı hatalı kitaplık için yamalandı.

Şirket, bir kullanıcıyı riske atmak için aşağıdaki kriterlerden birinin karşılanması gerektiğini savunarak, böyle bir ihlalin meydana gelme olasılığını hafife aldı:

”20 Mart Pazartesi günü Pasifik saatiyle 1:00 ile 10:00 arasında gönderilen bir abonelik onay e-postasını açın. Hata nedeniyle, o pencerede oluşturulan bazı abonelik onay e-postaları yanlış kullanıcılara gönderildi. Bu e-postalar, başka bir kullanıcının kredi kartı numarasının son dört hanesini içeriyordu, ancak tam kredi kartı numarası görünmüyordu. 20 Mart’tan önce az sayıda abonelik onay e-postası yanlış adreslenmiş olabilir, ancak bunun herhangi bir örneğini doğrulamadık.”

”ChatGPT’de, 20 Mart Pazartesi günü Pasifik saatiyle 1:00 ile 10:00 arasında “Hesabım”a ve ardından “Aboneliğimi yönet”e tıklayın. Bu pencere sırasında, başka bir aktif ChatGPT Plus kullanıcısının adı ve soyadı, e-posta adresi, ödeme adresi, kredi kartı numarasının (yalnızca) son dört hanesi ve kredi kartı son kullanma tarihi görünüyor olabilir. Bunun herhangi bir örneğini doğrulamamış olsak da, bunun 20 Mart’tan önce gerçekleşmiş olması da mümkündür.”