Sebuah tautan berbagi ChatGPT yang disusupi program jahat mampu mengeksekusi skrip peretas langsung di dalam sesi masuk milik pengguna yang membukanya, sehingga memungkinkan pelaku membaca riwayat percakapan rahasia korban, sebagaimana dipaparkan oleh peneliti dari perusahaan keamanan siber Parameter.
Tim analis keamanan siber tersebut melaporkan kerentanan kritis ini lewat program bug bounty resmi OpenAI pada 18 Oktober. OpenAI menuntaskan perbaikannya dalam delapan hari serta menetapkan insiden tersebut ke klasifikasi tingkat P1, tingkatan paling kritis di sistem mereka.
Umpan yang dipakai hanyalah obrolan ChatGPT biasa yang dibagikan ke publik menggunakan tautan bawaan resmi platform. Tautan ini dapat didistribusikan lewat metode yang sama dengan tautan normal lainnya: melalui surat elektronik, pesan singkat, laporan tiket bantuan teknis, ataupun unggahan di media sosial.
Pengguna yang menjadi target sama sekali tidak diminta memasang aplikasi baru, bergabung ke ruang kerja tertentu, maupun masuk akun lewat portal peretas. Pada varian eksploitasi paling konsisten, korban hanya perlu membuka tautan dan menekan tombol Pratinjau di antarmuka ChatGPT satu kali. Pada pengembangan varian berikutnya, Parameter memodifikasi halaman agar fitur Pratinjau langsung aktif secara otomatis, sehingga korban cukup mengeklik tautan tanpa tindakan tambahan.
Potensi Ancaman dan Kemampuan Peretas
Seketika tautan dibuka, skrip berbahaya milik penyerang langsung dieksekusi di sesi akun aktif korban dengan memegang hak akses penuh platform ChatGPT yang sah. Skrip ini secara otomatis mendata seluruh riwayat obrolan terbaru korban, membuka obrolan rahasia yang sebelumnya tidak pernah dibagikan kepada pelaku, serta mentransfer sebagian kecil data percakapan itu menuju peladen khusus di bawah kendali peneliti.
Kode instruksi penyerang langsung memanggil antarmuka pemrograman aplikasi berotentikasi milik ChatGPT, alih-alih sekadar membaca atau menyalin teks visual pada layar monitor. Mengingat kode beroperasi memakai otorisasi penjelajahan situs korban seutuhnya, kapabilitasnya tidak hanya terbatas pada pembacaan isi obrolan. "Pada dasarnya, kami mampu mengeksekusi tindakan apa pun atas nama akun ChatGPT milik pengguna yang menjadi korban," papar peneliti dalam laporan teknis mereka.
Eksperimen investigasi ini sepenuhnya berlangsung dalam skenario pengujian terkontrol. Parameter memastikan tidak ada catatan mengenai penggunaan kerentanan ini di dunia nyata oleh penjahat siber, dan mereka menjalankan simulasi pembuktian penyadapan percakapan rahasia memakai akun terpisah milik sendiri, bukan akun pengguna asli.
Rangkaian Cara Tautan Menembus Ruang Isolasi Sandbox
Sistem ChatGPT memiliki kemampuan mengonversi sekumpulan kode HTML di dalam percakapan menjadi tampilan situs mini melalui fungsi Pratinjau. Berhubung halaman web kecil tersebut berpotensi menampung kode berbahaya, ChatGPT mengisolasinya di dalam bingkai khusus yang terkunci di bawah domain terpisah, sehingga tidak mampu membaca antarmuka utama ChatGPT di sekitarnya.
Lapisan isolasi sandbox itu sejatinya berhasil bertahan. Kendati demikian, celah masuk justru muncul dari fitur tambahan kedua di dalam percakapan yang sama.
Obrolan yang dibagikan juga menyematkan elemen diagram grafis interaktif, yang proses perhitungannya memanggil pustaka matematika MathLive ke halaman utama ChatGPT. Pemanggilan pustaka MathLive ini meninggalkan proses pendengar pesan yang aktif di laman utama untuk menerima instruksi interaksi papan ketik digital di layar.
Lalu lintas pesan antar-bingkai di peramban hanya terjamin keamanannya jika pihak penerima memvalidasi identitas pengirim. Parameter mendapati bahwa komponen pendengar tersebut menerima sinyal papan ketik dari pengirim mana pun tanpa validasi ketat, serta mengizinkan pesan membawa muatan kode HTML mentah. Melalui cara ini, modul Pratinjau melompati batasan isolasi dan menyuntikkan kode HTML berbahaya buatan peretas ke domain utama yang tepercaya.
Suntikan HTML tersebut membangun bingkai anyar yang dianggap oleh sistem peramban web sebagai bagian resmi dari ekosistem chatgpt.com. Sebuah skrip program yang ditarik dari platform YouTube lantas menyuplai kode instruksi yang dijalankan di dalam bingkai tersebut.
Aturan kebijakan keamanan konten ChatGPT sebenarnya membatasi asal unduhan skrip halaman web. Kebijakan itu secara ketat memblokir injeksi kode inline namun tetap memberi pengecualian izin bagi skrip yang bersumber dari domain YouTube, yang membuat tahapan eksekusi ini berhasil lolos.
Langkah Perbaikan OpenAI dan Petunjuk untuk Pengguna
Parameter mengonfirmasi OpenAI berhasil mereplikasi pengujian eksekusi kode berbahaya serta pembuktian akses percakapan rahasia tersebut, menaikkan tingkat kegentingan dari P2 menjadi P1, lalu menyalurkan pembaruan sistem di dua versi antarmuka web ChatGPT. Pada 26 Oktober, kedua varian antarmuka sudah menolak sepenuhnya lalu lintas instruksi pesan yang dimanfaatkan teknik serangan tersebut.
Pemanfaatan jalur YouTube hanyalah trik pengalihan pada tahap akhir dan bukan pangkal akar masalah sesungguhnya. Menghentikan akses tautan itu saja tetap membiarkan modul Pratinjau yang tidak tepercaya menyusupkan susunan kode HTML ke situs utama.
Para pengguna platform ChatGPT kini tidak perlu mengambil tindakan teknis apa pun. Penambalan celah keamanan ditangani seutuhnya oleh peladen OpenAI, sehingga pengguna tidak perlu mengunduh pembaruan manual ataupun menyetel ulang konfigurasi akun mereka.
Parameter merilis laporan pengujian lengkap ini secara terbuka pada 28 Oktober, sesudah penambalan tuntas. OpenAI memberikan imbalan resmi sebesar $5.000 atas penemuan laporan kerentanan berharga ini.
