Sebuah tautan percakapan ChatGPT yang dibuat secara manipulatif berpotensi menjalankan kode asing milik peretas langsung di sesi pengguna yang tengah aktif, sehingga memungkinkan pihak luar mengakses obrolan pribadi mereka. Temuan krusial tersebut diungkapkan oleh barisan periset dari entitas keamanan siber bernama Parameter.
Para peneliti segera melaporkan temuan kerentanan teknis itu melalui program bug bounty yang dibuka oleh OpenAI pada tanggal 18 Oktober. Pihak OpenAI merespons dengan sigap, merilis tambalan keamanan delapan hari berselang, serta menetapkan celah ini ke tingkat ancaman P1, yang merupakan kelompok kategori risiko paling gawat di platform mereka.
Jebakan siber tersebut dikemas layaknya percakapan ChatGPT biasa yang disebarluaskan memakai tautan publik resmi. Pengiriman tautan tipuan itu dapat ditempuh lewat berbagai saluran umum sebagaimana percakapan biasa: melalui surel elektronik, layanan perpesanan instan, tiket bantuan layanan teknis, atau sekadar disebarkan sebagai unggahan di media sosial.
Pihak yang menjadi sasaran sama sekali tidak dimintai mengunduh berkas asing, menggabungkan diri ke ruang kerja baru, atau mengisi rincian masuk melewati platform milik peretas. Dalam variasi eksperimen yang paling mulus, korban cukup mengeklik tautan tersebut lalu memencet tombol Preview milik ChatGPT satu kali. Pada model pengujian berikutnya, Parameter merekayasa tampilan agar laman membuka fungsi Preview secara otomatis, membuat tindakan mengeklik tautan menjadi satu-satunya tahap yang dibutuhkan.
Kemampuan yang Bisa Dijalankan Pelaku Serangan
Saat laman terbuka sempurna, skrip buatan peretas langsung beroperasi di dalam sesi login korban dengan tingkat hak akses yang sebanding dengan situs resmi ChatGPT. Kode jahat itu mampu membaca daftar riwayat percakapan terkini milik korban, membuka obrolan pribadi yang sebelumnya tidak pernah dibagikan kepada peretas, serta mengekstrak sepotong data percakapan rahasia itu ke server kontrol yang diawasi oleh tim peneliti.
Alih-alih sekadar menyalin apa yang terlihat secara visual di layar komputer, kode tersebut langsung memanggil API internal ChatGPT dalam kondisi pengguna telah terotentikasi. Mengingat perintah itu bekerja memakai wewenang penuh di peramban web korban, jangkauan pengoperasiannya tidak sebatas mengintip isi pesan semata. "Secara praktis, kami sanggup mengeksekusi tindakan apa pun atas nama akun ChatGPT milik korban," papar perwakilan peneliti dalam rilisnya.
Eksperimen investigasi ini diselenggarakan secara terkendali. Parameter menegaskan bahwa mereka tidak menemukan indikasi bahwa celah berbahaya ini telah disalahgunakan di luar laboratorium dalam insiden dunia nyata. Pengujian pembuktian pembacaan percakapan pribadi tersebut dilakukan menggunakan akun terisolasi milik mereka sendiri, tanpa melibatkan target pengguna sebenarnya.
Langkah Tautan Meretas Sistem Ruang Isolasi Sandbox
Berdasarkan paparan Parameter, urutan eksploitasi ini berjalan melalui serangkaian mekanisme yang saling terpaut. ChatGPT memiliki kemampuan mengubah kode HTML di dalam jendela percakapan menjadi halaman peramban web kecil memanfaatkan fitur Preview. Mengingat laman mikro itu berpotensi membawa skrip apa pun, ChatGPT mengisolasinya di dalam bingkai tertutup berbingkai terpisah yang memakai domain berbeda, sehingga tidak mampu membaca data dari situs inti ChatGPT.
Meskipun proteksi ruang isolasi sandbox tersebut berhasil bertahan kukuh, jalur masuk alternatif justru terbuka akibat keberadaan fitur kedua yang dimuat pada sesi percakapan yang sama.
Percakapan yang dibagikan itu menyertakan visualisasi grafik interaktif, dan pemrosesan gambar grafik tersebut menuntut pemanggilan pustaka komputasi matematika MathLive langsung ke dalam halaman utama ChatGPT. Kehadiran MathLive lantas meninggalkan sebuah fungsi pendengar pesan yang terus aktif untuk menerima instruksi mengenai pengoperasian papan ketik di layar.
Sebuah pengiriman pesan lintas bingkai peramban pada dasarnya hanya aman jika sistem penerima memeriksa ketat identitas pengirim aslinya. Parameter mendapati bahwa pendengar ini menerima sinyal keyboard dari entitas mana pun tanpa penyaringan, sembari membiarkan pesan tersebut membawa data mentah HTML. Situasi tersebut dimanfaatkan fitur Preview guna melompati batas wilayah dan menyelundupkan dokumen HTML peretas menuju domain utama yang sepenuhnya tepercaya.
Struktur HTML tadi selanjutnya membangun bingkai anyar yang dianggap oleh sistem peramban sebagai bagian internal dari domain chatgpt.com. Sebuah skrip berkas yang ditarik dari layanan YouTube kemudian menyediakan instruksi program yang berjalan leluasa di dalamnya.
Aturan keamanan konten atau Content Security Policy milik ChatGPT sebenarnya membatasi secara ketat sumber asal skrip yang diizinkan beroperasi di situsnya. Pengaturan tersebut sukses menangkal skrip langsung, namun masih memasukkan server YouTube ke daftar aman, yang membuat manuver peretasan tersebut berhasil dijalankan.
Penanganan oleh OpenAI dan Panduan bagi Para Pengguna
Pihak Parameter mengonfirmasi bahwa OpenAI berhasil mereplikasi keseluruhan proses, baik simulasi eksekusi kode maupun bukti penyusupan pesan rahasia, lalu mengerek tingkat keparahannya dari skala P2 menjadi P1, sebelum merilis perbaikan ke dua varian antarmuka web ChatGPT. Terhitung mulai 26 Oktober, kedua sistem tersebut resmi menolak instruksi pesan yang dimanfaatkan dalam skenario serangan.
Peneliti menyimpulkan bahwa kegagalan proteksi ini berakar pada tiga perpaduan rancangan arsitektur sistem yang saling bertumpuk:
Keberadaan tautan YouTube hanyalah jembatan pelarian terakhir, bukan faktor pemicu utamanya. Memblokir sumber YouTube semata tetap membiarkan Preview tanpa pengawasan menyuntikkan kode HTML berbahaya ke dalam situs inti.
Para pengguna ChatGPT reguler tidak perlu melakukan langkah pengamanan mandiri apa pun. Seluruh tindakan perbaikan dituntaskan langsung dari server OpenAI, tanpa butuh pemasangan pembaruan atau pengaturan ulang kredensial masuk.
Parameter memublikasikan hasil analisis lengkap mereka kepada publik pada 28 Oktober begitu perbaikan tuntas. Atas pengiriman laporan bernilai tinggi tersebut, OpenAI memberikan imbalan resmi sebesar $5.000.