اختراق ChatGPT باستخدام GPTs مخصصة تستغل ثغرة SSRF

أصلحت نموذج اللغة الكبير من OpenAI ChatGPT عيباً أمنياً عُثر عليه في وقت سابق من هذا الأسبوع من قبل باحث ضمن ميزة “الإجراءات” في Custom GPTs. كان المهاجمون يمكن أن يستغلوا ثغرة تزوير طلبات جانب الخادم (SSRF) للكشف عن بيانات اعتماد داخلية داخل السحابة الخاصة بنموذج الذكاء الاصطناعي، كما زعم المحقق.

كأحد مهندسي الأمان المفتوح وجامعي الأخطاء، كان SirLeeroyJenkins ينشئ أول Custom GPT له، وشعر “بأنه” كانت هناك ثغرة SSRF. تتيح ميزة الإجراءات للمستخدمين تعريف واجهات برمجة التطبيقات الخارجية باستخدام مخططات OpenAPI حتى يقوم الذكاء الاصطناعي باستدعائها لمهام محددة، مثل جلب بيانات الطقس.

أثناء اختبار واجهة برمجة التطبيقات الخاصة به، اكتشف SirLeeroyJenkins أن النظام يعيد البيانات من عنوان URL قدمه المستخدم. فوجئ بهذا السلوك، وأجرى المزيد من الاختبارات، مشتبهًا بوجود مشكلة SSRF محتملة.

“بمجرد أن أدركت أن هذه الميزة يمكن أن تعيد البيانات من أي عنوان URL قدمه المستخدم، انطلق حدس الهاكر،” قال. “كان علي التحقق من وجود SSRF.”

قد تجعل ثغرة SSRF Custom GPTs غير آمنة 

كما وضح Jenkins في منشوره على Medium الذي نُشر في وقت سابق من هذا الأسبوع، هجوم تزوير طلبات جانب الخادم (SSRF) هو ثغرة في الويب تخدع التطبيقات لإجراء طلبات إلى وجهات غير مقصودة. إذا لم تقم التطبيق بالتحقق بشكل صحيح من عناوين URL التي يقدمها المستخدم، يمكن للمهاجمين استخدام امتيازات وصول الخادم للوصول إلى الشبكات الداخلية أو خدمات بيانات التعريف السحابية.

كان SSRF شائعاً بما يكفي لإدراجه في قائمة OWASP Top 10 في عام 2021، وقد وسع الآن من أضراره المحتملة لأن التكوينات الافتراضية غير الآمنة في البيئات السحابية يمكن أن تعرض الأنظمة الحرجة للخطر.

شرح Jenkins أن هناك نوعين رئيسيين من SSRF، وهما القراءة الكاملة والأعمى. تعيد SSRF ذات القراءة الكاملة البيانات من الخدمة المستهدفة مباشرة إلى المهاجم. في الوقت نفسه، لا تكشف SSRF الأعمى عن الاستجابة ولكنها لا تزال تسمح لهم بالتفاعل مع الخدمات الداخلية، على سبيل المثال، من خلال مسح المنافذ القائم على التوقيت.

اختبر الثغرة عن طريق توجيه عنوان URL لواجهة برمجة التطبيقات (API) إلى خدمة بيانات تعريف المثيل (IMDS) الخاصة بـ Azure، والتي تخزن بيانات اعتماد سحابية حساسة. يتطلب الوصول إلى هذه الخدمة عادةً رأس Metadata: True، لذلك فوجئ عندما لم تتمكن محاولاته الأولية من توفير الرأس المطلوب.

حظرت ميزة Custom GPT الاستغلال في البداية لأنها فرضت عناوين URL HTTPS، بينما تعمل Azure IMDS عبر HTTP. باستخدام إعادة توجيه 302 من نقطة نهاية HTTPS خارجية إلى عنوان URL لبيانات التعريف الداخلية، اتبع الخادم إعادة التوجيه. ومع ذلك، حظرت Azure الوصول بدون الرأس المطلوب.

“بما أن الخادم اتبع إعادة التوجيه 302، فقد أعاد الاستجابة من عنوان URL لبيانات التعريف الداخلية. المهمة منجزة، أليس كذلك؟ خطأ. أشارت الاستجابة من خدمة بيانات التعريف إلى أن رأساً مطلوباً لم يتم تعيينه،” أشار SirLeeroyJenkins.

بعد مواصلة استكشاف الاستجابات، سمحت الميزة بمفاتيح API مخصصة يمكن تسميتها بشكل تعسفي. حاول تسمية مفتاح Metadata بالقيمة true، حيث تم حقن الرأس المطلوب لمنح GPT الوصول إلى خدمة بيانات التعريف.

أبلغ Jenkins الثغرة فوراً إلى برنامج Bugcrowd الخاص بـ OpenAI، وتم تعيين المشكلة على أنها عالية الخطورة ثم إصلاحها.

كما ذكر أن Open Security استخدمت سابقاً هذا النوع من سلسلة هجمات SSRF لاستغلال ميزة مولد الفواتير الضعيفة في شركة مالية عالمية كبرى للتدقيق الأمني.

تطلق OpenAI GPT-5.1 بعد اضطراب الإصدار 5.0

في أخبار أخرى متعلقة بـ ChatGPT، أعلنت OpenAI عن إطلاق GPT-5.1، متباهية بعدة تحديثات تمت من الإصدار 5.0 لتحسين اتباع التعليمات والاستدلال التكيفي. 

“GPT-5.1 متاح الآن! إنه ترقية لطيفة. أنا أعجب بشكل خاص بتحسينات اتباع التعليمات، والتفكير التكيفي. تحسينات الذكاء والأسلوب جيدة أيضاً،” كتب الرئيس التنفيذي سام ألتمان على X في وقت متأخر من يوم الأربعاء.

اختبر كاتب التكنولوجيا Mehul Gupta GPT-5.1 مقابل سلفه، ملاحظاً أن GPT-5، رغم كونه متقناً ومفيداً، أحياناً يفرط في تعقيد المهام البسيطة. يُفترض أن النسخة الفورية من GPT-5.1 كانت لديها فهم محسن وتوقفات تكيفية دقيقة أعطت استجابات أكثر “وعياً بالسياق”.

في أحد الاختبارات، طلب Gupta من كل من النماذج الرد بكلمات ست. حاول GPT-5 الإفراط في الشرح، بينما قدم GPT-5.1 إجابة موجزة وصحيحة. 

أعلن ألتمان أيضاً عن إضافة 7 إعدادات مسبقة جديدة، بما في ذلك الافتراضي، والصديق، والكفء، والمهني، والصريح، أو الغريب، ولكن يمكن للمستخدمين اختيار “ضبطها بأنفسهم”.