בעלי עסקים קטנים שהצוות שלהם עובד עם ChatGPT מול לקוחות - חובה לנתק סשנים פעילים ולא לפתוח קישורים משותפים של שיחות ChatGPT מגורמים לא מוכרים, כי Parameter Labs חשפו שרשרת ניצול שאפשרה לחטוף חשבון מחובר דרך קישור יחיד. OpenAI כבר תיקנו את הבאג ושילמו באונטי של בערך 18,500 ש"ח ($5,000), אז תצוגות ה-HTML בטוחות שוב - אבל הלקח על גבולות האמון נשאר.
המתקפה בנויה שכבות. ChatGPT מריץ אפליקציות משתמש בתוך iframes מבודדים שנקראים HTML previews. האינטגרציה של MathLive האזינה לאירועי postMessage מכל פריים והזרימה אותם ל-innerHTML של העמוד ההורה, בלי בדיקת מקור. סימון HTML מוזרק יכול היה להוליד iframe חדש בלי דגלי sandbox, וה-CSP של OpenAI התיר סקריפטים מ-YouTube - שנקודת ה-oEmbed שלו מחזירה JavaScript בשליטת תוקף. הסקירה של Simon Willison מסבירה איך המטען הסופי הוציא נתוני צ'אט פרטיים דרך כתובת תמונה.
מה זה אומר לעסק קטן בישראל
אם חשבוניות, חוזים או נתוני לקוחות עוברים בסשן ה-ChatGPT בדפדפן של הקליניקה, המשרד או החנות - תתייחסו אליו כמו לכניסה לבנק: פרופיל אחד לאדם, בלי קישורים משותפים מזרים, בלי הצצות מהירות לפרומפטים שלקוח שלח במייל. למשימות רגישות אני מעדיף להריץ את ה-LLM מול מפתח API ששמור בבקאנד, כך שהדפדפן לא רואה את הארכיון כלל ובאג בצד ה-UI לא יכול לדלוף את כל הקורפוס. על אותו עיקרון בניתי צינור לביקורת ארכיון משפטי, שבו המסמכים לא נוגעים אף פעם בטאב SaaS משותף.
למה זה חשוב: כלי AI מתארחים ימשיכו לשחרר באגים בצד הדפדפן; ההגנה המעשית היא להוציא תהליכים רגישים מהממשק המשותף ולהכניס אותם לפייפליינים שבשליטתכם.
מקור: Simon Willison