ثغرة خطيرة في شات جي بي تي سمحت بسرقة المحادثات الخاصة عبر رابط واحد قبل إصلاحها

كشفت شركة الأمن السيبراني باراميتر (Parameter) عن ثغرة أمنية خطيرة في خدمة شات جي بي تي (ChatGPT) التابعة لشركة أوبن إيه آي (OpenAI)، كانت تسمح للمهاجمين بالوصول إلى محادثات المستخدمين الخاصة وسرقة بياناتهم عبر رابط محادثة مشتركة، وذلك دون الحاجة إلى معرفة كلمات المرور أو الحصول على إذن من أصحاب الحسابات. وقد عالجت أوبن إيه آي هذه الثغرة في 26 تشرين الأول/أكتوبر 2026.

وفقًا لتقرير نشره موقع Notebookcheck، أبلغ الباحثون عن الثغرة في 18 تشرين الأول/أكتوبر، وأشاروا إلى عدم رصد مؤشرات على وقوع ضحايا فعليين، حيث اقتصرت الاختبارات على حسابات الشركة الأمنية.

رابط مشترك يفتح المحادثات الخاصة

بدأ الهجوم بإنشاء محادثة عادية داخل شات جي بي تي تتضمن محتوى برمجياً خبيثاً مخفياً، ثم مشاركتها مع الضحية عبر رابط يُرسل بالبريد الإلكتروني أو تطبيقات المراسلة. وعند فتح الرابط، كان المهاجم يستغل ثغرة في طريقة عرض محتوى المحادثة، تسمح بتشغيل تعليمات برمجية داخل جلسة المستخدم المسجل دخوله إلى حسابه. وبذلك، لم يعد الوصول مقتصراً على المحادثة المشتركة، بل امتد إلى محادثات خاصة لم يسبق للمستخدم مشاركتها.

ثغرة برمجية سمحت بتسريب البيانات

ارتبط الخلل بمكتبة MathLive المستخدمة لعرض المعادلات الرياضية، إذ كانت تقبل رسائل من نوافذ خارجية وتدرج محتوى HTML دون التحقق منه. وسمح ذلك بإنشاء إطار برمجي غير معزول أمنياً، مستفيداً من إعدادات أتاحت تحميل نصوص برمجية من يوتيوب. وبحسب الباحثين، أصبح بإمكان الكود الخبيث استعراض قائمة المحادثات، وفتح محادثات خاصة، وإرسال أجزاء من محتواها إلى خادم خارجي. كما أتاح الوصول إلى واجهات البرمجة الداخلية تنفيذ إجراءات نيابة عن المستخدم، وصولاً إلى احتمال الاستيلاء على الحساب.

نقرة واحدة كانت كافية للاختراق

احتاجت النسخة الأولى من الهجوم إلى ضغط المستخدم على زر معاينة الرابط المشترك. غير أن الباحثين طوروا نسخة أخرى تفتح المعاينة تلقائياً، ما جعل مجرد فتح الرابط كافياً لتنفيذ الهجوم، شرط وجود جلسة تسجيل دخول نشطة.