پژوهشگران امنیتی از کشف یک آسیب‌پذیری جدی در ChatGPT خبر داده‌اند که به مهاجمان اجازه می‌داد از طریق یک لینک اشتراک‌گذاری‌شده، کد دلخواه خود را در نشست احراز هویت‌شده قربانی اجرا کنند و به گفتگوهای خصوصی او دسترسی پیدا کنند؛ حتی گفتگوهایی که هرگز با مهاجم به اشتراک گذاشته نشده بودند.
این آسیب‌پذیری توسط محققان شرکت امنیتی Parameter شناسایی شد و به گفته آن‌ها، مهاجم برای اجرای حمله نیازی به نصب بدافزار، دریافت دسترسی به محیط کاری قربانی یا حتی وارد کردن اطلاعات حساب کاربری او نداشت.
یک لینک معمولی ChatGPT؛ نقطه شروع حمله
ماجرا از قابلیت معمول اشتراک‌گذاری گفتگو در ChatGPT آغاز می‌شد. کاربران می‌توانند با ایجاد یک لینک عمومی، مکالمات خود را با دیگران به اشتراک بگذارند؛ قابلیتی که به‌طور طبیعی از طریق ایمیل، پیام‌رسان‌ها، شبکه‌های اجتماعی و حتی سامانه‌های پشتیبانی مورد استفاده قرار می‌گیرد.
پژوهشگران Parameter نشان دادند که مهاجم می‌تواند یک گفتگوی مخرب ایجاد کرده و آن را در قالب یک لینک اشتراک‌گذاری‌شده برای قربانی ارسال کند.
در نسخه اولیه حمله، کاربر پس از باز کردن لینک کافی بود تنها یک بار روی دکمه Preview در ChatGPT کلیک کند تا زنجیره حمله آغاز شود. اما در نسخه پیشرفته‌تر، پژوهشگران موفق شدند کاری کنند که Preview به‌صورت خودکار باز شود؛ بنابراین باز کردن لینک به‌تنهایی برای اجرای حمله کافی بود.
مهاجم چگونه به گفتگوهای خصوصی دسترسی پیدا می‌کرد؟
نکته مهم این آسیب‌پذیری، نحوه اجرای کد مخرب بود. کد مهاجم در بستر نشست فعال و احراز هویت‌شده کاربر اجرا می‌شد و از همان سطح دسترسی‌ای برخوردار بود که وب‌سایت اصلی ChatGPT در اختیار داشت.
در آزمایش انجام‌شده، پژوهشگران توانستند:
- فهرست گفتگوهای اخیر حساب قربانی را استخراج کنند.
- یک گفتگوی خصوصی را که قبلاً با مهاجم به اشتراک گذاشته نشده بود، باز کنند.
- بخشی از محتوای آن گفتگو را به یک سرور تحت کنترل خود ارسال کنند.
این عملیات مستقیماً از طریق APIهای احراز هویت‌شده ChatGPT انجام می‌شد؛ بنابراین حمله صرفاً به اطلاعات قابل مشاهده روی صفحه مرورگر محدود نبود.
پژوهشگران در گزارش خود تأکید کردند که این سطح از دسترسی عملاً می‌توانست امکان انجام عملیات مختلفی را به نمایندگی از حساب قربانی فراهم کند.
زنجیره آسیب‌پذیری چگونه شکل گرفت؟
بر اساس بررسی Parameter، مشکل از ترکیب چند قابلیت و ضعف امنیتی در رابط وب ChatGPT ناشی می‌شد.
ChatGPT قابلیتی به نام Preview دارد که می‌تواند کد HTML موجود در یک گفتگو را به یک صفحه وب کوچک تبدیل و اجرا کند. برای جلوگیری از دسترسی این محتوا به صفحه اصلی ChatGPT، پیش‌نمایش در یک محیط ایزوله یا Sandbox و در یک مبدأ جداگانه اجرا می‌شود.
اما این مرزبندی امنیتی با استفاده از یک قابلیت دیگر دور زده شد.
در گفتگوی مخرب، یک نمودار تعاملی نیز قرار داده شده بود که هنگام نمایش، کتابخانه‌ای به نام MathLive را در صفحه اصلی ChatGPT بارگذاری می‌کرد. این کتابخانه برای مدیریت صفحه‌کلید مجازی ریاضی، از سازوکار ارتباطی بین فریم‌های مرورگر استفاده می‌کرد.
مشکل اینجا بود که شنونده پیام‌های این کتابخانه، مبدأ و فرستنده پیام‌ها را به‌درستی اعتبارسنجی نمی‌کرد. در نتیجه، محتوای مخرب موجود در Preview می‌توانست پیام‌هایی به صفحه اصلی ارسال کند.
از سوی دیگر، این پیام‌ها امکان انتقال HTML خام را نیز فراهم می‌کردند. در ادامه، محتوای تزریق‌شده باعث ایجاد یک فریم جدید بدون محدودیت Sandbox شد که مرورگر آن را با مبدأ معتبر chatgpt.com در نظر می‌گرفت.
در مرحله پایانی، پژوهشگران از یک اسکریپت بارگذاری‌شده از YouTube برای عبور از محدودیت‌های سیاست امنیت محتوای مرورگر (CSP) استفاده کردند و توانستند کد مخرب را در بستر معتبر ChatGPT اجرا کنند.
به بیان ساده، Sandbox مربوط به Preview به‌خودی‌خود شکسته نشده بود؛ بلکه ضعف در ارتباط بین فریم‌ها و پردازش محتوای HTML باعث شد مهاجم بتواند از مرز امنیتی عبور کند.
واکنش OpenAI؛ رفع آسیب‌پذیری با درجه اهمیت P1
پژوهشگران Parameter در تاریخ ۱۸ اکتبر ۲۰۲۶ این مشکل را از طریق برنامه باگ‌بانتی OpenAI گزارش کردند.
طبق گزارش منتشرشده، OpenAI پس از بازتولید موفق حمله و تأیید امکان اجرای کد و دسترسی به گفتگوهای خصوصی، سطح شدت آسیب‌پذیری را از P2 به P1 افزایش داد.
این شرکت در تاریخ ۲۶ اکتبر اصلاحیه‌ای برای دو نسخه از رابط وب ChatGPT منتشر کرد تا پیام‌هایی را که امکان اجرای این حمله را فراهم می‌کردند، مسدود کند.
همچنین OpenAI بابت گزارش این آسیب‌پذیری در مجموع ۵ هزار دلار به پژوهشگران پاداش پرداخت کرد.
آیا کاربران ChatGPT باید اقدامی انجام دهند؟
طبق اعلام پژوهشگران، این آسیب‌پذیری پیش از انتشار عمومی گزارش اصلاح شده است و کاربران برای رفع آن نیازی به نصب به‌روزرسانی، تغییر رمز عبور یا انجام تنظیمات خاصی ندارند.
همچنین Parameter اعلام کرده است که شواهدی از سوءاستفاده واقعی از این آسیب‌پذیری در حملات عملیاتی مشاهده نکرده و آزمایش اثبات مفهوم (PoC) را میان حساب‌های تحت کنترل خود انجام داده است.
با این حال، این اتفاق یک نکته امنیتی مهم را یادآوری می‌کند: لینک‌هایی که از دامنه‌های معتبر و شناخته‌شده منتشر می‌شوند، لزوماً محتوای بی‌خطری ندارند. قابلیت‌های تعاملی، پیش‌نمایش کد و اجزای شخص ثالث می‌توانند در صورت وجود ضعف در اعتبارسنجی پیام‌ها و جداسازی محیط اجرا، به مسیری برای اجرای کد مخرب تبدیل شوند.
منبع: The Hacker News – October 31, 2026
گزارش پژوهشی: Parameter
دیدگاهتان را بنویسید
برای نوشتن دیدگاه باید وارد بشوید.