כל קישור שיתוף של ChatGPT צריך להיחשב כקוד שעלול לרוץ בדפדפן שלכם, ולכן כדאי לעבור על כל זרימת עבודה בצוות שמדביקה נתוני לקוחות לצ'אטים שבהמשך משותפים. חוקרי Parameter הראו שעצם פתיחה של קישור ציבורי של ChatGPT הספיקה כדי להריץ JavaScript של תוקף בתוך הסשן המחובר של הקורבן ב-chatgpt.com.
שרשרת ההתקפה, שתועדה על ידי Parameter, ניצלה שתי תכונות נפרדות. ה-HTML Preview של ChatGPT מריץ קוד משתמש במסגרת מוגבלת, אבל גרף אינטראקטיבי באותה שיחה טען את ספריית MathLive, שהתקינה postMessage listener על הדף הראשי בלי לבדוק את מקור השולח. ה-Preview שלח הודעה שהחליפה פריסת מקלדת וירטואלית ב-HTML של התוקף, ובטריק של iframe srcdoc הפך את ה-HTML הזה להרצת JavaScript כקורבן. ה-payload יכול היה לרשום שיחות פרטיות, לקרוא צ'אטים שמעולם לא שותפו עם התוקף, ולקרוא ל-API מאומת. OpenAI תיקנה את הבאג ב-26 באוקטובר 2026 וסיווגה את הדיווח כ-P1.
מה זה אומר אם ChatGPT משולב בתהליך העבודה של העסק
אם הצוות שלכם שולח קישורי שיתוף של ChatGPT ללקוחות - משרד עורכי דין שמעביר ניתוח חוזה, קליניקה ששולחת סיכום פגישה, סוכנות שמשתפת טיוטת קמפיין - התייחסו למשטח השיתוף כלא מהימן. הבאג הספציפי תוקן, אבל שרשראות בריחה מסנדבוקס שנבנות מתכונות דפדפן לגיטימיות ימשיכו לצוץ. לעבודה עם מסמכים רגישים אני שומר את העיבוד על מפתחות API עם הרשאות מצומצמות במקום ממשק הצ'אט הצרכני, ככה למשל עוזר משפטי שבניתי לניתוח חוזים מטפל במסמכים בלי לחשוף אותם לכתובת ניתנת לשיתוף.
למה זה חשוב: קישורי צ'אט משותפים הם חלק ממשטח התקיפה של העסק - בדקו מי יכול לשתף מסביבת העבודה שלכם, והעבירו כל דבר רגיש ל-API עם מפתחות בהרשאות מצומצמות במקום לממשק הצרכני.
מקור: Hacker News