اختراق تشات جي بي تي بكلود يكشف سباق الأمن السيبراني

وبدأت العملية من منتدى مجتمع "أوبن إيه آي"، المستضاف على منصة "ديسكورس"، قبل أن تقود ثغرتان مترابطتان إلى حسابات "تشات جي بي تي" و"كودكس" تابعة لموظفين، ثم إلى القدرة على إرسال طلب تعديل داخل مستودع برمجي داخلي للشركة.

ونفذ الاختبار فريق من ثلاثة باحثين في شركة الأمن السيبراني "هاكترون".

وقالت "هاكترون" إن الفترة الممتدة من اكتشاف الثغرات إلى إثبات إمكانية الوصول إلى مستودع "أوبن إيه آي" الداخلي استغرقت أقل من 72 ساعة.

لكنها شددت على أن العملية لم تكن ذاتية بالكامل، وأن توجيه الباحثين ذوي الخبرة ظل ضروريا.

بدأ الباحثون في 23 يوليو بفحص آلية معالجة الصور في منصة "ديسكورس".

وتبين لهم أن الصور بصيغتي "HEIC" و"HEIF" تمر عبر أداة لمعالجة الصور تستخدم مكتبة برمجية تسمى "libheif"، كانت نسختها الموجودة في النظام تحتوي على ثغرة تسمح بتنفيذ أوامر عن بعد.

واستخدم الفريق نماذج "كلود" التابعة لشركة "أنثروبيك" لتطوير ملف صورة مصمم لاستغلال الخلل وتحويله إلى وسيلة لتنفيذ أوامر داخل بيئة "ديسكورس".

وبعد الوصول إلى منتدى "أوبن إيه آي"، استغل الباحثون خللا ثانيا في إعدادات تسجيل الدخول الموحد، سمح بالانتقال من حساب المنتدى إلى حسابات "شات جي بي تي" و"كودكس" المرتبطة به.

وقال مدير مؤسسة "فير" لنزاهة الذكاء الاصطناعي أحمد الشيخ، خلال حديثه إلى "سكاي نيوز عربية"، إن النظام "لم يتعرف إلى خطورة الصورة وتعامل معها باعتبارها صورة عادية"، ما أتاح استغلال الثغرة والوصول إلى حسابات الموظفين.

لكن نقطة الدخول لم تكن البنية الأساسية لـ"تشات جي بي تي" مباشرة، بل منتدى المجتمع الخارجي، قبل أن يحول خلل تسجيل الدخول الاختراق إلى تهديد يمتد إلى خدمات "أوبن إيه آي".

قالت "هاكترون" إن الباحثين سيطروا على حساب موظف كان حسابه في "كودكس" متصلا بمنظمة "أوبن إيه آ…