تصور کنید یک پرامپت آماده را کپی و در چتجیپیتی وارد میکنید. همهچیز عادی به نظر میرسد و پاسخ دلخواهتان را میگیرید؛ اما در همان لحظه، چتجیپیتی در پسزمینه و کاملاً بیسروصدا، در حال خواندن ایمیلهای شماست تا آنها را برای یک مهاجم بفرستد.
در این حمله، دادهها به یک سرور خارجی ارسال نمیشوند، بلکه از طریق یک کانال پنهان به یک حساب چتجیپیتی دیگر منتقل میشوند. پژوهشگران شرکت امنیتی «چک پوینت» (Check Point) در گزارش امروز خود، با اجرای یک نمونه آزمایشی نشان دادند که این سناریو کاملاً عملی است.
این حمله دقیقاً چطور کار میکرد؟
نقطه شروع این حمله، یک دستور پنهان بود که باید به شکلی وارد گفتوگوی قربانی میشد. به گفته پژوهشگران، این کار از سه راه امکانپذیر بود:
- پرامپتی که خود کاربر آن را کپی و در چت وارد میکند.
- لینک یک گفتوگوی بهاشتراکگذاشتهشده که کاربر آن را باز میکند.
- یک «جیپیتی سفارشی» (Custom GPT) که دستور در تنظیمات پشتصحنهاش پنهان شده و کاربر آن را نمیبیند.
پس از آن، ارسال یک پیام معمولی کافی بود تا چتجیپیتی همزمان دو کار را انجام دهد: به سؤال کاربر جواب دهد و در همان حال، یک «صندوق مخفی» را برای دریافت دستورات تازه از سوی مهاجم بررسی کند. چتجیپیتی این دستور پنهان را با ابزارهای متصل به نشستِ قربانی اجرا میکرد و نتیجه را در همان صندوق میگذاشت.
دستور از مدل میخواست دو رشته کار را جدا نگه دارد؛ بنابراین کار پنهان هرگز در پاسخ قابلمشاهده ظاهر نمیشد. به این ترتیب، مهاجم میتوانست با هر پیامِ کاربر فرمان تازهای بدهد؛ از خواندن ایمیلها تا کپیکردن تاریخچه گفتوگو و فایلهای همان گفتوگو.
حجم اطلاعاتی که به دست مهاجم میافتاد، کاملاً به این بستگی داشت که آن نشست از قبل چه دسترسیهایی داشته است؛ از دادهها و ابزارها گرفته تا مجوزها و سایر اپلیکیشنهای متصل.
چرا چتجیپیتی برای خواندن ایمیلها اجازه نمیگرفت؟
دلیل این موضوع به تنظیمات پیشفرض اپلیکیشنهای متصل برمیگردد. چتجیپیتی برای «خواندن» اطلاعات از کاربر سؤالی نمیکند و فقط پیش از اقداماتی اجازه میگیرد که اثر بیرونی داشته باشند یا بازگرداندنشان دشوار باشد. تنها نشانه این نفوذ، برچسب کوچک «Talked to Gmail» (با جیمیل صحبت شد) در بالای پاسخ بود؛ برچسبی که صرفاً از خواندهشدن اطلاعات خبر میداد، آن هم زمانی که کار از کار گذشته بود و کاربر هیچ فرصتی برای جلوگیری از آن نداشت.
تنها نشانه این نفوذ، برچسب کوچک «Talked to Gmail» (با جیمیل ارتباط گرفت) در بالای پاسخ بود؛ برچسبی که صرفاً از خواندهشدنِ انجامشده خبر میداد و کاربر هیچ فرصتی برای اجازهدادن یا رد کردن آن نداشت.
درسهای این نفوذ؛ چگونه جلوی پرامپتهای مخرب را بگیریم؟
متنی که به چتجیپیتی میدهید فقط یک سؤال نیست؛ میتواند فرمانی باشد که با تمام دسترسیهای حساب شما اجرا شود. اگر از آن دسته کاربرانی هستید که پرامپتهای آماده را از کانالهای تلگرامی یا منابع دیگر کپی میکنند، رعایت این چند اقدام ساده ضروری است:
- پرامپتها را چشمبسته کپی نکنید: اگر پرامپتی طولانی است، بخشهای گنگ دارد یا منبعش ناشناس است، آن را در اکانتی که به جیمیل یا سرویسهای دیگر متصل است وارد نکنید.
- به لینکهای ناشناس اعتماد نکنید: گفتوگوهای اشتراکی و «جیپیتیهای سفارشی» (Custom GPTs) را با احتیاط باز کنید؛ شما نمیتوانید دستورات مخفیِ پشتصحنه یک جیپیتی سفارشی را ببینید.
- مجوزها را روی «Always ask» تنظیم کنید: در بخش Apps در تنظیمات چتجیپیتی، حالت پیشفرض را تغییر دهید تا برای هر بار خواندن اطلاعات از جیمیل و سایر اپها از شما اجازه گرفته شود. (دقت کنید که این کار جلوی سرقت تاریخچه چت را نمیگیرد).
- دسترسیهای اضافه را ببندید: اپلیکیشنهایی را که دیگر استفاده نمیکنید از چتجیپیتی قطع کنید. هر اتصال اضافه، یک مسیر نفوذ بالقوه برای دستورات پنهان است.
به گفته چک پوینت، این یافته به اوپنایآی اطلاع داده شده و اوپنایآی تأیید کرده که سرویس داخلیِ پشت این کانال از دسترس خارج شده است. کاربران نیازی به نصب بهروزرسانی ندارند.
