كشف باحثون أمنيون عن ثغرة خطيرة في منصة ChatGPT كان من الممكن أن تسمح للمهاجمين بتنفيذ تعليمات برمجية داخل جلسة المستخدم النشطة، والوصول إلى محادثاته الخاصة دون علمه، وذلك بمجرد فتح رابط مشاركة يبدو طبيعياً. وقد تعاملت OpenAI مع الخلل بسرعة، وصنفته ضمن أعلى مستويات الخطورة الأمنية من فئة P1 قبل إصدار إصلاح شامل لمعالجته.
ووفقاً للباحثين في شركة Parameter المتخصصة في الأمن السيبراني، فإن الهجوم كان يعتمد على رابط مشاركة عادي لمحادثة على ChatGPT. ويمكن إرسال هذا الرابط عبر البريد الإلكتروني أو تطبيقات المراسلة أو منصات التواصل الاجتماعي أو حتى ضمن تذاكر الدعم الفني، ما يجعله يبدو مشروعاً تماماً بالنسبة للضحية. وقد أبلغ الباحثون عن الثغرة عبر برنامج مكافآت اكتشاف الثغرات التابع لـ OpenAI في 18 أكتوبر 2026، قبل أن يتم إصلاحها بعد ثمانية أيام فقط.
كيف كانت الثغرة تعمل؟
تكمن خطورة الثغرة في أنها لم تكن تتطلب من الضحية تثبيت أي برامج أو تسجيل الدخول من خلال جهة خارجية أو الانضمام إلى مساحة عمل مشبوهة. ففي إحدى صور الهجوم كان يكفي للمستخدم فتح الرابط ثم الضغط على زر المعاينة Preview مرة واحدة، بينما نجح الباحثون لاحقاً في تطوير أسلوب يجعل نافذة المعاينة تُفتح تلقائياً، بحيث يصبح مجرد فتح الرابط كافياً لتنفيذ الهجوم.
بمجرد تنشيط الرابط، كانت التعليمات البرمجية الخاصة بالمهاجم تُنفذ داخل الجلسة النشطة للمستخدم على ChatGPT وبالصلاحيات نفسها التي يملكها الموقع الأصلي. وتمكن الباحثون خلال اختبارهم من استعراض المحادثات الحديثة للمستخدم وفتح دردشة خاصة لم يسبق مشاركتها مع أي شخص، ثم إرسال جزء صغير من محتواها إلى خادم خاضع لسيطرتهم.
والأخطر من ذلك أن الكود الخبيث لم يكن يعتمد على نسخ ما يظهر على الشاشة فقط، بل استخدم واجهات البرمجة الداخلية الخاصة بالمنصة والمخصصة للمستخدم المسجل دخوله. وأكد الباحثون أن قدراتهم لم تكن لتقتصر على قراءة المحادثات فحسب، بل كان بإمكانهم نظرياً تنفيذ أي إجراء متاح لحساب الضحية داخل المنصة.
استغلال معقد انطلق من ميزة المعاينة
أوضحت شركة Parameter أن سلسلة الاستغلال استندت إلى التفاعل بين ميزتين مختلفتين داخل المحادثة نفسها. فميزة Preview في ChatGPT تسمح بتحويل أكواد HTML الموجودة داخل المحادثة إلى صفحة ويب مصغرة تعمل داخل إطار معزول “Sandbox” وعلى نطاق منفصل، وذلك لمنعها من الوصول إلى الصفحة الرئيسية للمنصة.
لكن نقطة الضعف لم تكن في نظام العزل نفسه، بل في عنصر آخر داخل المحادثة تضمن رسماً بيانياً تفاعلياً. وقد أدى عرض هذا الرسم إلى تحميل مكتبة رياضية تُعرف باسم MathLive داخل الصفحة الرئيسية للمنصة، حيث تركت المكتبة مستمعاً للرسائل البرمجية الخاصة بلوحة المفاتيح الافتراضية.
واكتشف الباحثون أن هذا المستمع كان يقبل رسائل واردة من أي إطار دون التحقق من مصدرها، كما كان يسمح بتمرير أكواد HTML خام ضمن بيانات الرسالة. واستغلت صفحة المعاينة هذه الثغرة لتمرير محتوى HTML خبيث إلى الصفحة الموثوقة الخاصة بـ ChatGPT.
ومن هناك تمكن المهاجم من إنشاء إطار جديد اعتبره المتصفح جزءاً أصيلاً من نطاق chatgpt.com، ثم استخدم برنامجاً نصياً محملاً من منصة YouTube لتشغيل التعليمات البرمجية المطلوبة. وأشار الباحثون إلى أن سياسة أمن المحتوى الخاصة بالمنصة كانت تمنع تشغيل الأكواد المباشرة، لكنها كانت تسمح بتحميل البرامج النصية من YouTube، الأمر الذي وفر مساراً بديلاً لتنفيذ الهجوم.
لماذا اعتُبرت الثغرة شديدة الخطورة؟
تكتسب هذه الثغرة أهميتها من كونها تجمع بين تنفيذ تعليمات برمجية عن بُعد والوصول إلى بيانات المستخدم الخاصة في آن واحد. كما أنها اعتمدت على سيناريو هجوم بسيط للغاية من منظور الضحية، حيث لا تتطلب سوى فتح رابط يبدو شرعياً وصادراً من خدمة موثوقة يستخدمها الملايين حول العالم.
ورغم عدم وجود أدلة على استغلالها فعلياً ضد مستخدمين حقيقيين، فإن الباحثين نجحوا في إثبات إمكانية الوصول إلى محادثات خاصة باستخدام حسابات اختبار منفصلة، وهو ما دفع OpenAI إلى رفع تصنيف الثغرة من P2 إلى P1، باعتبارها من أخطر الفئات الأمنية داخل الشركة.
إصلاح شامل من OpenAI
بحسب التقرير، قامت OpenAI بإعادة إنتاج سيناريو الهجوم والتحقق من إمكانية تنفيذ الكود والوصول إلى المحادثات الخاصة، ثم أصدرت إصلاحاً شمل نسختين من الواجهة الأمامية لخدمة ChatGPT. وبحلول 26 أكتوبر 2026 أصبحت الرسائل التي استند إليها الهجوم مرفوضة بالكامل من قبل النظام.
وأرجع الباحثون أصل المشكلة إلى ثلاثة قرارات تصميمية تفاعلت معاً، تمثلت في قبول مكتبة MathLive رسائل إعدادات دون التحقق من هوية المرسل، والسماح بتضمين أكواد HTML خام داخل تلك الرسائل، وإمكانية إنشاء إطار جديد غير معزول يرث هوية نطاق chatgpt.com. وأوضحوا أن استخدام YouTube لم يكن سبب الثغرة بحد ذاته، بل مجرد وسيلة تجاوز استُخدمت في المرحلة الأخيرة من الاستغلال.
وبعد نشر تفاصيل البحث في 28 أكتوبر 2026، منحت OpenAI الباحثين مكافأة مالية بلغت 5000 دولار تقديراً لاكتشافهم الثغرة والإبلاغ المسؤول عنها. كما أكدت الشركة أن المستخدمين ليسوا بحاجة إلى اتخاذ أي إجراءات إضافية أو تثبيت تحديثات، نظراً لأن المعالجة تمت بالكامل على جانب الخوادم والبنية التشغيلية للخدمة.
