آسیب‌پذیری در اپلیکیشن Mac نسخه ChatGPT می‌توانست داده‌ها را افشا کند

آسیب‌پذیری ChatGPT در اپلیکیشن macOS این سرویس می‌توانست به مهاجم اجازه دهد کنترل برنامه را در رایانه قربانی به‌دست بگیرد و به گزارش گفت‌وگوها و داده‌های دیگری که اپلیکیشن نگه‌داری می‌کند دسترسی پیدا کند. پژوهشگران Objective-See Foundation این نقص را شناسایی کردند و OpenAI در ۲۵ سپتامبر اعلام کرد آن را برطرف کرده است؛ گزارشی که اهمیت ایمن‌سازی خود نرم‌افزارهای هوش مصنوعی را در کنار نگرانی‌های مربوط به استفاده از هوش مصنوعی در حملات سایبری برجسته می‌کند.

بر اساس گزارش WIRED، این آسیب‌پذیری فقط خطر افشای گفت‌وگوهای ذخیره‌شده را به همراه نداشت. مهاجم می‌توانست اپلیکیشن را وادار کند فرمان‌هایی را از طرف او اجرا کند؛ از جمله درخواست‌هایی برای دسترسی به مرورگر یا برنامه‌های حساس دیگر. در چنین وضعیتی، دستورها ممکن بود به‌گونه‌ای به نظر برسند که گویی از مؤلفه‌های معتبر خود OpenAI صادر شده‌اند. گزارش، از امکان سوءاستفاده سخن می‌گوید و نمی‌گوید مهاجمی در عمل از این نقص استفاده کرده است.

آسیب‌پذیری ChatGPT چگونه کشف شد؟

این نقص را پژوهشگران Objective-See Foundation پیدا کردند؛ بنیادی که در زمینه پژوهش امنیتی فعالیت می‌کند. پاتریک واردل، تحلیل‌گر نرم‌افزار در این بنیاد و پژوهشگر باسابقه macOS، توضیح داده است که نقص به یک مؤلفه مورداعتماد در اپلیکیشن مربوط می‌شد: مفسر اسکریپت. مفسر اسکریپت برنامه‌ای است که می‌تواند دستورها یا مجموعه‌ای از فرمان‌ها را دریافت و اجرا کند.

اپلیکیشن macOS ChatGPT از چند مؤلفه تشکیل شده که برای ارتباط با یکدیگر از بررسی امضای دیجیتال استفاده می‌کنند. امضای دیجیتال در این زمینه روشی برای سنجش هویت و اعتبار نرم‌افزار است: برنامه بررسی می‌کند فرایندی که درخواست می‌فرستد واقعاً به OpenAI تعلق دارد یا ممکن است نرم‌افزاری بیرونی و مخرب باشد. این سازوکار قرار بود جلوی ارسال درخواست‌های جعلی را بگیرد.

طبق توضیحات پژوهشگران، کنترل‌های امنیتی اپلیکیشن به یک مرحله محدود نبودند. برنامه هویت فرایند فرستنده را بررسی می‌کرد و برای اطمینان بیشتر، به فرایندهای بالادستی آن نیز توجه داشت. به بیان ساده، اگر مؤلفه‌ای می‌خواست درخواستی را به ChatGPT برساند، برنامه تلاش می‌کرد مطمئن شود آن مؤلفه و زنجیره‌ای که آن را اجرا کرده، معتبر هستند.

مشکل این بود که یک مفسر اسکریپت مورداعتماد می‌توانست اسکریپتی را بپذیرد که خودش قابل اعتماد نبود. پژوهشگران دریافتند مهاجم می‌توانست از این مسیر استفاده کند و اسکریپت را به فرایند اصلی ChatGPT برساند. بنابراین، وجود چند لایه بررسی به‌تنهایی مانع دور زدن سازوکارها نشد: اسکریپت مخرب می‌توانست مفسر اسکریپت را سه بار پشت سر هم اجرا کند و سپس درخواست را بفرستد؛ ترتیبی که ظاهراً شرایط مورد انتظار برای بررسی فرایندهای والد و پدربزرگ را برآورده می‌کرد.

از دور زدن بررسی‌ها تا دسترسی به داده‌ها

پیامد بالقوه این نقص، از دید پژوهشگران، فراتر از اجرای یک اسکریپت در برنامه بود. اگر مهاجم می‌توانست درخواست خود را به‌عنوان درخواستی معتبر به فرایند اصلی ChatGPT برساند، قادر بود از دسترسی و اعتماد اعطاشده به اپلیکیشن استفاده کند. از جمله داده‌هایی که ممکن بود در معرض دسترسی قرار بگیرند، گزارش گفت‌وگوهای ذخیره‌شده در برنامه بود.

افزون بر آن، طبق گزارش، مهاجم می‌توانست ChatGPT را برای اجرای فرمان‌هایی به کار بگیرد که دسترسی به مرورگر یا برنامه‌های حساس دیگر را فراهم می‌کردند. ارتباط‌های موجود در محیط کاربر، مانند نشست‌های مرورگر، نیز از جمله مواردی بودند که گزارش به‌عنوان بخشی از دامنه خطر مطرح می‌کند. این توضیحات به معنای اثبات دسترسی به همه این داده‌ها در یک حمله واقعی نیست؛ بلکه شرح قابلیت‌هایی است که نقص می‌توانست در اختیار مهاجم بگذارد.

واردل این آسیب‌پذیری را بسیار ساده برای سوءاستفاده توصیف کرده و گفته است نمونه اثبات مفهوم او حدود دوازده خط کد داشت. «اثبات مفهوم» نمونه‌ای فنی است که نشان می‌دهد یک نقص امنیتی چگونه می‌تواند کار کند؛ وجود چنین نمونه‌ای به‌خودی‌خود ثابت نمی‌کند که حمله‌ای علیه کاربران انجام شده است. اهمیت این نکته در آن است که گزارش، مسیر سوءاستفاده را پیچیده یا نیازمند کدنویسی گسترده توصیف نمی‌کند.

واردل برای توضیح سطح دسترسی ابزارهای هوش مصنوعی از تشبیه مدیر یک ساختمان استفاده کرده است: چنین مدیری کلید اتاق‌های مختلف را در اختیار دارد تا بتواند کارهایش را انجام دهد. به گفته او، اگر این عامل یا نرم‌افزار دستکاری شود، ممکن است کدی با دسترسی محدود بتواند به منابعی برسد که در حالت عادی در اختیارش نیست. این تشبیه بر یک مسئله طراحی تأکید می‌کند: هرچه نرم‌افزار برای انجام وظایفش دسترسی بیشتری داشته باشد، پیامد به‌خطر افتادن آن نیز می‌تواند گسترده‌تر شود.

واکنش OpenAI و اهمیت امنیت اپلیکیشن‌های هوش مصنوعی

OpenAI این مشکل و رفع آن را در گزارش تغییرات سیستمی خود در ۲۵ سپتامبر علنی کرد. شین باوئر، سخنگوی این شرکت، در بیانیه‌ای گفت OpenAI به تکامل رویه‌های امنیتی خود ادامه می‌دهد، اما نیاز به سریع‌تر عمل کردن را می‌پذیرد. گزارش جزئیات بیشتری درباره زمان دقیق شناسایی نقص، روند رفع آن یا شمار کاربرانی که ممکن است در معرض خطر بوده باشند ارائه نمی‌کند.

این ماجرا در فضایی رخ می‌دهد که توجه عمومی به رابطه هوش مصنوعی و امنیت سایبری رو به افزایش است. از یک سو، درباره عامل‌های هوش مصنوعی‌ای صحبت می‌شود که می‌توانند به‌طور خودکار در وب‌سایت‌ها اقدام کنند؛ از سوی دیگر، ابزارهای هوش مصنوعی ممکن است برای کلاهبرداری یا فعالیت‌های مجرمانه به کار گرفته شوند. اما این آسیب‌پذیری سوی دیگری از مسئله را نشان می‌دهد: خود ابزارهای هوش مصنوعی نیز می‌توانند هدف حمله قرار بگیرند.

برای کاربر، تفاوت مهم این است که خطر فقط به محتوایی که وارد یک سامانه هوش مصنوعی می‌شود محدود نیست. اگر یک اپلیکیشن روی رایانه به داده‌ها یا قابلیت‌های دیگر برنامه‌ها دسترسی داشته باشد، نقص در همان اپلیکیشن می‌تواند آن ارتباط‌ها را به مسیر احتمالی سوءاستفاده تبدیل کند. در نمونه گزارش‌شده، بررسی‌های امضای دیجیتال برای جدا کردن مؤلفه‌های معتبر از نرم‌افزار بیرونی طراحی شده بودند، اما نحوه استفاده از مفسر اسکریپت امکان دور زدن آن بررسی‌ها را فراهم کرد.

این گزارش به‌تنهایی نشان نمی‌دهد که هر اپلیکیشن هوش مصنوعی دسترسی مشابهی دارد یا همه کاربران با خطر یکسان روبه‌رو هستند. بااین‌حال، نمونه‌ای مشخص از چالشی را مطرح می‌کند که طراحان چنین نرم‌افزارهایی باید در نظر بگیرند: اجزایی که برای اجرای قابلیت‌ها به آن‌ها اعتماد می‌شود، خود می‌توانند بخشی از سطح حمله باشند. وقتی اپلیکیشن از طرف کاربر به منابع دیگری دسترسی دارد، اعتبارسنجی درخواست‌ها و محدود کردن دامنه دسترسی اهمیت ویژه پیدا می‌کند.

این خبر برای چه کسانی اهمیت دارد

این خبر برای کاربران نسخه macOS ChatGPT، به‌ویژه کسانی که گفت‌وگوها یا اطلاعات حساس را در اپلیکیشن نگه‌داری می‌کنند، اهمیت مستقیم دارد؛ زیرا نقص گزارش‌شده می‌توانست دسترسی به داده‌های برنامه را ممکن کند. OpenAI اعلام کرده آسیب‌پذیری را برطرف کرده است، اما گزارش موجود درباره دامنه مواجهه کاربران یا رخ دادن سوءاستفاده واقعی اطلاعاتی نمی‌دهد.

برای توسعه‌دهندگان ابزارهای هوش مصنوعی نیز این ماجرا یادآور آن است که قابلیت‌های وابسته به دسترسی سیستم‌عامل باید با بررسی‌های امنیتی چندلایه محافظت شوند و اجزای واسطه، مانند مفسرهای اسکریپت، می‌توانند نقطه‌ای حساس در زنجیره اعتماد باشند. برای مدیران فناوری و متخصصان امنیت، نکته اصلی این است که ارزیابی ریسک ابزارهای هوش مصنوعی باید خود نرم‌افزار، داده‌های ذخیره‌شده و ارتباط آن با برنامه‌های دیگر را هم دربر بگیرد؛ نه فقط خروجی مدل یا نحوه استفاده کاربران از آن را.