Sebuah tautan berbagi ChatGPT yang disusupi muatan berbahaya terbukti mampu mengeksekusi kode peretas langsung di dalam sesi masuk milik pengguna yang membukanya, sekaligus memberi jalan bagi pelaku untuk membaca rekaman obrolan rahasia mereka, demikian temuan para peneliti di firma keamanan siber Parameter.
Tim peneliti tersebut melaporkan kerentanan ini secara resmi melalui program bug bounty milik OpenAI pada tanggal 18 Oktober. Pihak OpenAI merespons dengan cepat serta memperbaiki celah tersebut delapan hari berselang, kemudian menaikkan status klasifikasinya ke tingkat P1, yang merupakan kelompok kerentanan paling kritis.
Umpan jebakan ini wujudnya serupa dengan percakapan ChatGPT standar yang dibagikan melalui tautan publik biasa. Tautan semacam itu sangat lazim didistribusikan melalui pesan surat elektronik, obrolan daring personal, lampiran tiket bantuan teknis pelanggan, hingga unggahan publik di media sosial.
Sasaran serangan sama sekali tidak dituntut untuk memasang aplikasi asing, bergabung dengan ruang kerja tertentu, atau login melalui sistem penyerang. Pada skenario awal pengujian, korban cukup membuka tautan tersebut lalu menekan tombol Preview milik ChatGPT sekali saja. Namun pada pengembangan berikutnya, Parameter merancang halaman agar fitur Preview terbuka secara otomatis, sehingga tindakan mengeklik tautan saja sudah cukup memicu peretasan.
Dampak dan Kemampuan Serangan Peretas
Segera setelah tautan tersebut terbuka di peramban, kode milik penyerang langsung beroperasi di dalam sesi masuk aktif korban menggunakan hak akses penuh yang setara dengan domain asli ChatGPT. Muatan skrip ini menyisir daftar percakapan terbaru milik korban, membuka obrolan rahasia yang sebelumnya tidak pernah dibagikan, serta mengirimkan sebagian kecil cuplikan teksnya langsung menuju peladen kendali peneliti.
Alih-alih sekadar membaca atau menangkap visual teks yang sedang tertampil pada layar monitor, kode jahat ini langsung memanggil antarmuka pemrograman aplikasi (API) milik ChatGPT yang terotentikasi. Mengingat perintah dijalankan dengan kewenangan penuh akun web korban, batas aksinya meluas jauh melebihi sekadar mencuri obrolan. “Pada dasarnya, kami mampu mengeksekusi tindakan apa saja atas nama akun ChatGPT milik korban,” tulis para peneliti tersebut.
Seluruh rangkaian pengujian ini dilaksanakan di bawah kondisi riset yang sangat terkendali. Parameter menegaskan bahwa mereka tidak menemukan indikasi pemanfaatan celah ini secara luas di dunia nyata, dan simulasi pembacaan obrolan pribadi sepenuhnya dilakukan antar-akun mandiri milik peneliti sendiri, bukan menyasar pengguna asli platform.
Mekanisme Tautan Menembus Batasan Sandbox
Berdasarkan penjelasan resmi tim Parameter, rangkaian eksploitasi ini bekerja melalui beberapa tahapan teknis. Platform ChatGPT sejatinya mampu merender blok kode HTML dalam jendela obrolan menjadi sebuah halaman web mini lewat fitur bernama Preview. Lantaran halaman mini ini berpotensi memuat skrip apa pun, ChatGPT mengisolasinya di dalam bingkai ketat pada alamat web terpisah agar terhindar dari kemungkinan membaca halaman utama ChatGPT di sekelilingnya.
Sistem isolasi atau sandbox tersebut sebenarnya berfungsi normal. Lubang masuk justru tercipta lewat kehadiran fitur pendukung kedua yang dimuat dalam obrolan bersamaan.
Percakapan yang dibagikan tersebut turut menyisipkan elemen grafik interaktif, di mana proses pembuatannya memanggil pustaka matematika eksternal bernama MathLive ke halaman utama ChatGPT. Pemuatan pustaka MathLive ini ternyata meninggalkan sebuah pendengar pesan (listener) yang terus aktif di latar belakang guna menerima instruksi terkait papan ketik visual pada layar.
Komunikasi antar-bingkai di peramban hanya aman apabila pihak penerima memeriksa identitas pengirim secara teliti. Parameter mendapati bahwa listener tersebut menerima instruksi papan ketik dari pengirim mana pun tanpa validasi asal, serta memperbolehkan pesan membawa muatan kode HTML mentah. Akibatnya, bingkai Preview mampu menembus batas keamanan dan menyuntikkan HTML peretas langsung ke halaman utama yang tepercaya.
Suntikan HTML tersebut lantas membangun bingkai baru yang diperlakukan peramban sebagai bagian resmi dari domain chatgpt.com. Sebuah skrip yang dipanggil dari situs YouTube kemudian menyuplai kode pengeksekusi di dalamnya.
Kebijakan keamanan konten (CSP) ChatGPT membatasi sumber asal skrip yang diizinkan berjalan di situsnya. Aturan ini memblokir eksekusi kode inline namun mengecualikan skrip dari platform YouTube, celah inilah yang dimanfaatkan untuk menuntaskan serangan.
Langkah Perbaikan OpenAI dan Panduan Pengguna
Parameter menyatakan OpenAI berhasil mereproduksi skenario eksekusi kode sekaligus pembuktian pencurian obrolan pribadi tersebut, mengubah tingkat keparahannya dari P2 menjadi P1, serta menyalurkan pembaruan sistem ke dua versi antarmuka web ChatGPT. Tepat pada tanggal 26 Oktober, kedua versi tersebut resmi menolak instruksi pesan yang dimanfaatkan dalam serangan.
Tim peneliti menyimpulkan bahwa kegagalan keamanan ini bermula dari tiga keputusan perancangan sistem yang saling bertumpuk tanpa sengaja:
Keterlibatan domain YouTube hanyalah jembatan pintas terakhir dalam alur eksekusi, bukan akar masalah utamanya. Memblokir YouTube semata tetap membiarkan Preview liar menyuntikkan HTML ke situs utama.
Bagi para pengguna setia ChatGPT, tidak ada tindakan penanganan manual yang perlu dilakukan. Pembaruan diterapkan seutuhnya di sisi peladen OpenAI, sehingga pengguna tak perlu memasang apa pun atau mengatur ulang kata sandi.
Parameter resmi mempublikasikan laporan rinci investigasi ini pada 28 Oktober, sesudah penambalan tuntas. Atas temuan bernilai tinggi ini, OpenAI memberikan imbalan bug bounty sebesar $5.000 kepada para peneliti.
