Faça as contas: Como tomamos conta de contas do ChatGPT

Artigo original ↗ Discussão no Hacker News ↗

Pesquisadores descrevem como conseguiram sequestrar contas do ChatGPT por meio de um link cuidadosamente criado que abusava do comportamento de pré-visualização da web e de primitivas antigas do navegador como `postMessage`, iframes e JSONP. Comentadores criticam a postura de segurança da OpenAI e, especialmente, o bounty de US$ 5.000 para uma vulnerabilidade da classe de tomada de conta, argumentando que isso subestima a divulgação responsável e pode empurrar descobertas futuras para o mercado cinzento. A discussão se amplia para preocupações com a crescente complexidade de software, implementações questionáveis de OAuth e do lado do cliente, e a ironia de que empresas líderes em IA ainda dependem de stacks web frágeis e propensas a erros que seus próprios agentes supostamente poderiam proteger.

Gravidade da vulnerabilidade e mecânica do ataque

  • Comentadores veem isso como um sério problema de tomada de conta, especialmente combinado com outras capacidades como acesso remoto ao sistema de arquivos por meio de sessões “Work” no aplicativo de desktop.
  • Alguns ficam surpresos de que falhas tão básicas de segurança na web (por exemplo, postMessage sem validação, uso indevido de JSONP, erros de OAuth/state, vazamentos de referer) apareçam nessa escala.
  • Outros apreciam a explicação passo a passo da cadeia de truques clássicos da web (iframes, postMessage, JSONP, tags de imagem), embora alguns achem a explicação confusa ou incompleta.

Valor do bug bounty e incentivos

  • O bounty de US$ 5.000 para uma vulnerabilidade P1 de tomada de conta é amplamente visto como insultuosamente baixo, dado o valuation da OpenAI e o impacto potencial.
  • Vários argumentam que bounties baixos desencorajam a divulgação responsável e podem empurrar futuros pesquisadores a vender exploits em particular ou em mercados cinzentos.
  • Outros observam que algumas grandes empresas são ainda piores (por exemplo, corrigem vulnerabilidades sem pagar), e que as companhias podem manter bounties deliberadamente baixos para limitar o volume de relatos recebidos.
  • Há debate sobre se o tamanho do bounty deveria refletir a gravidade versus o esforço do pesquisador, e se “corrigir de fato” já é, por si só, um grande valor.

Ética: divulgar vs. explorar

  • Um lado insiste em reportar aos fornecedores por dever ético, independentemente do pagamento ou da riqueza da empresa.
  • Outro lado argumenta que empresas extremamente poderosas, movidas por lucro e que elas próprias agem de forma questionável, não merecem consideração moral especial.
  • Há discussão sobre a legalidade de vender exploits e se isso constitui facilitação criminosa; o consenso é que é arriscado e depende dos fatos.

LLMs, testes de segurança e qualidade de software

  • Alguns perguntam por que os próprios “agent swarms” da OpenAI ou outros LLMs não encontraram esse bug; outros duvidam que a IA atual possa descobrir autonomamente problemas tão sutis.
  • Vários criticam a cultura geral de engenharia da OpenAI (bases de código enormes, hype de marketing) e pedem designs mais simples e seguros, além de uma superfície de ataque reduzida.
  • Há um debate relacionado sobre se linhas de código são uma métrica significativa de complexidade e de superfície vulnerável.

Links por e-mail, phishing e “não clique em links”

  • O exploit exige clicar em um link, o que provoca piadas sobre treinamentos de segurança que se resumem a “não clique em links”.
  • Comentadores observam que produtos de “segurança” de e-mail que escaneiam links podem visitá-los automaticamente, complicando esse conselho e ocasionalmente quebrando fluxos de confirmação baseados em GET.

Meta: qualidade do blog e conteúdo gerado por IA

  • Várias pessoas reclamam que o post do blog parece gerado por LLM, escrito mais para bots do que para humanos.
  • Outros enfatizam que ainda escrevem seus próprios blogs à mão para melhorar a compreensão e preservar a clareza em nível humano.