شركة OpenAI تكشف خطأ وراء حادث التعرض لبيانات مستخدم ChatGPT

كشفت OpenAI يوم الجمعة أن خطأ في مكتبة Redis مفتوحة المصدر كان مسؤولاً عن الكشف عن المعلومات الشخصية للمستخدمين الآخرين وعناوين الدردشة في خدمة ChatGPT المبتدئة في وقت سابق من هذا الأسبوع.

الخلل ، الذي ظهر في 20 مارس 2023 ، مكّن بعض المستخدمين من عرض أوصاف موجزة لمحادثات المستخدمين الآخرين من الشريط الجانبي لسجل الدردشة ، مما دفع الشركة لإغلاق برنامج الدردشة مؤقتًا.

وقالت الشركة: “من المحتمل أيضًا أن تكون الرسالة الأولى لمحادثة تم إنشاؤها حديثًا مرئية في سجل دردشة شخص آخر إذا كان كلا المستخدمين نشطين في نفس الوقت تقريبًا”.

وأضافت أن الخطأ نشأ في مكتبة redis-py ، مما أدى إلى سيناريو يمكن أن تتسبب فيه الطلبات الملغاة في إتلاف الاتصالات وإرجاع بيانات غير متوقعة من ذاكرة التخزين المؤقت لقاعدة البيانات ، وفي هذه الحالة ، معلومات تخص مستخدم غير ذي صلة.

لجعل الأمور أسوأ ، قالت شركة أبحاث الذكاء الاصطناعي ومقرها سان فرانسيسكو إنها أدخلت تغييرًا من جانب الخادم عن طريق الخطأ أدى إلى زيادة في إلغاء الطلبات ، وبالتالي زيادة معدل الخطأ.

بينما تمت معالجة المشكلة منذ ذلك الحين ، أشارت OpenAI إلى أن المشكلة قد يكون لها المزيد من التداعيات في مكان آخر ، ومن المحتمل أن تكشف عن معلومات متعلقة بالدفع لـ 1.2٪ من مشتركي Plus في 20 مارس بين 1-10 صباحًا بتوقيت المحيط الهادئ.

وشمل ذلك الاسم الأول والأخير لمستخدم آخر نشط وعنوان البريد الإلكتروني وعنوان الدفع والأرقام الأربعة الأخيرة (فقط) من رقم بطاقة الائتمان وتاريخ انتهاء صلاحية بطاقة الائتمان. وأكدت عدم الكشف عن الأرقام الكاملة لبطاقات الائتمان.

وقالت الشركة إنها تواصلت مع المستخدمين المتضررين لإخطارهم بالتسريب غير المقصود.

وقالت أيضًا إنها “أضافت عمليات تحقق زائدة عن الحاجة للتأكد من أن البيانات التي يتم إرجاعها بواسطة ذاكرة التخزين المؤقت Redis الخاصة بنا تتطابق مع المستخدم الطالب”.

التعرض لبيانات مستخدم ChatGPT

في مشكلة أخرى متعلقة بالتخزين المؤقت ، عالجت الشركة أيضًا ثغرة أمنية خطيرة للاستيلاء على الحساب يمكن استغلالها للسيطرة على حساب مستخدم آخر ، وعرض محفوظات الدردشة الخاصة بهم ، والوصول إلى معلومات الفواتير دون علمهم.

الخلل ، الذي اكتشفه الباحث الأمني ​​Gal Nagli ، يتجاوز الحماية التي وضعتها OpenAI على chat.openai [.] com لقراءة البيانات الحساسة للضحية.

يتم تحقيق ذلك أولاً من خلال إنشاء رابط معد خصيصًا يلحق مورد .CSS بنقطة نهاية “chat.openai [.] com / api / auth / session /” وخداع الضحية للنقر على الرابط ، مما يتسبب في الرد الذي يحتوي على يتم تخزين كائن JSON بسلسلة accessToken مؤقتًا في CDN الخاص بـ Cloudflare.

يتم بعد ذلك إساءة استخدام الاستجابة المخزنة مؤقتًا لمورد CSS (الذي تم تعيين قيمة رأس CF-Cache-Status له على HIT) من قبل المهاجم لحصد بيانات اعتماد JSON Web Token (JWT) للهدف والاستيلاء على الحساب.

قال Nagli إن الخلل تم إصلاحه بواسطة OpenAI في غضون ساعتين من الكشف المسؤول ، مما يدل على خطورة المشكلة.

وجدت هذه المقالة مثيرة للاهتمام؟ تابعنا على Twitter  و LinkedIn لقراءة المزيد من المحتوى الحصري الذي ننشره.