ChatGPT'de ŞOK GÜVENLİK ZAFİYETİ Ortaya Çıktı: Tek Tıkla Özel Sohbetler Kripto Paralar Gibi Çalınabilirdi!
ChatGPT'nin sohbet paylaşım özelliğindeki kritik bir güvenlik açığı, özel konuşmaların kolayca okunabilmesine yol açıyordu. Güvenlik firması Parameter tarafından keşfedilen bu zaafiyet, OpenAI tarafından sekiz gün içinde kapatıldı ve 5.000 dolar ödülle ödüllendirildi.
Yapay zeka sohbet botlarının hayatımızdaki yeri her geçen gün artarken, güvenlik açıkları da teknolojinin karanlık yüzünü oluşturmaya devam ediyor. Dünyayı kasıp kavuran ChatGPT'de keşfedilen ve kullanıcıların özel sohbetlerini tehlikeye atan bir güvenlik açığı, teknoloji dünyasında şok etkisi yarattı. Güvenlik firması Parameter tarafından ortaya çıkarılan bu kritik zaafiyet, kötü niyetli kişilerin tek bir tıklamayla kullanıcılara ait gizli konuşmalara erişebilmesine olanak tanıyordu.
Tek Tıkla Sohbetler Ele Geçirilebilirdi: Nasıl Bir Tehlikeydi?
Bu akıl almaz güvenlik açığı, özellikle ChatGPT'nin sohbet paylaşım bağlantılarını kullananlar için büyük bir tehdit oluşturuyordu. Saldırganların, kullanıcıların hesap şifrelerini ele geçirmesine bile gerek kalmadan, yalnızca paylaşılmış bir sohbet bağlantısına tıklanmasını sağlayarak zararlı kodları çalıştırabilmesi mümkün hale geliyordu. Saldırının en ürkütücü yanı ise, kullanıcıların aktif bir oturumunun bulunması ve bağlantının, güvenilir görünen chatgpt.com alan adından açılmasıydı. Bu durum, kullanıcıların hiçbir şüpheye kapılmadan bağlantıya tıklamasını teşvik ediyordu.
Saldırının işleyişi, ilk bakışta masum görünen bir sohbet paylaşım bağlantısıyla başlıyordu. Bu bağlantı, e-posta, mesajlaşma uygulamaları, sosyal medya veya destek talepleri aracılığıyla kolayca yayılabilirdi. Kullanıcı, oturumu açıkken bu bağlantıya tıkladığında, saldırganın hazırladığı özel olarak tasarlanmış kodlar otomatik olarak çalışmaya başlıyordu. Bu kodlar, kullanıcının ChatGPT üzerindeki son sohbetlerini listeleyebiliyor ve hatta hiç paylaşılmamış, tamamen özel bir sohbetin bir kısmını saldırganın sunucusuna gönderebiliyordu. Hatta bazı sürümlerde, önizleme penceresi otomatik olarak açıldığı için kullanıcıların tek bir tıklamayla bu tehlikeye maruz kalması bile söz konusuydu.
Güvenlik Açığının Kök Nedenleri ve OpenAI'ın Hızlı Müdahalesi
Araştırmacılar, bu ciddi güvenlik açığının temelinde üç önemli tasarım tercihinin yattığını belirledi. İlk olarak, sohbet içerisindeki MathLive kütüphanesindeki mesaj dinleyicisinin, mesajı kimin gönderdiğini doğrulamadan her türlü veriyi kabul etmesi. İkinci olarak, bu dinleyicinin ham HTML kodunu işlemesine izin verilmesi. Üçüncü olarak ise, oluşturulan çerçevenin (frame) sandbox adı verilen güvenli ve yalıtılmış bir alanda çalıştırılmaması. Bu durum, YouTube gibi üçüncü taraf betiklerin bile bu çerçeve içinde çalışmasına olanak tanıyordu.
OpenAI, güvenlik firması Parameter'dan 18 Ekim tarihinde aldığı bildirim üzerine durumu hızla değerlendirdi. Hatayı kendi sistemlerinde yeniden üreten ve önem derecesini P2'den en kritik kategori olan P1'e yükselten şirket, sekiz gün gibi kısa bir sürede sunucu tarafında gerekli düzeltmeleri sağladı. Bu hızlı müdahale, kullanıcı verilerinin güvenliği konusundaki hassasiyetlerini de gözler önüne serdi. OpenAI, bu keşif için Parameter ekibine 5.000 dolarlık bir ödül takdim etti. Düzeltmeler sunucu tarafında yapıldığı için kullanıcıların herhangi bir ek işlem yapmasına gerek olmadığı belirtildi.
Gelecekte Benzer Saldırılar Olabilir mi?
Neyse ki, Parameter'ın açıklamasına göre bu açığın gerçek bir saldırıda kullanıldığına dair herhangi bir kanıt bulunmuyor. Ancak bu durum, gelecekte benzer zafiyetlerin yapay zeka platformlarında ortaya çıkmayacağı anlamına gelmiyor. Teknoloji şirketlerinin, yapay zeka modellerini geliştirirken güvenlik önlemlerini en üst düzeyde tutmaları ve olası riskleri proaktif bir şekilde ele almaları büyük önem taşıyor. Kullanıcıların da bilinmeyen bağlantılara tıklarken daha dikkatli olmaları ve güçlü şifre politikaları izlemeleri, dijital güvenliklerini sağlamada kritik rol oynayacaktır.
Ceren Güneş
Teknoloji & Gelecek Vizyonu
Bu yazı yazarımızın sitemizde yayınlanan köşe yazılarından biridir. Yazarımıza ait diğer tüm köşe yazılarına ve analizlere yukarıdaki bağlantıdan ulaşabilirsiniz.