WIRED poinformował 2 października 2026 r., że badacze z Objective-See Foundation znaleźli już załataną lukę w wersji aplikacji ChatGPT firmy OpenAI na macOS. Luka mogła posłużyć do przejęcia aplikacji na komputerze ofiary i uzyskania dostępu do historii czatów oraz innych przechowywanych przez nią danych [1]. Ustalenie jest istotne dla użytkowników Maca, ponieważ dotyczy zaufania do aplikacji AI, które przechowują historię rozmów i mogą działać na komputerze.
Tło
Aplikacja ChatGPT na macOS składa się z kilku komponentów, które komunikują się ze sobą. Według WIRED za pomocą podpisów cyfrowych potwierdzają one, że żądanie pochodzi od komponentu OpenAI, a nie od zewnętrznego oprogramowania, a projekt wymaga tych kontroli na trzech poziomach oddalenia od żądania [1]. OpenAI odnotowało lukę i jej poprawkę w swoim dzienniku zmian 25 września 2026 r. [1].
Ustalenia
Badacze Objective-See znaleźli zaufany komponent, interpreter skryptów, który przyjmuje niezaufany skrypt i można go skłonić do przekazania go do głównego procesu ChatGPT. Patrick Wardle, analityk oprogramowania w fundacji, powiedział, że kontrole obejmują także proces nadrzędny i proces nadrzędny wobec niego, ale złośliwy skrypt może trzykrotnie uruchomić interpreter, a dopiero potem wysłać żądanie, co spełnia wymagania [1].
WIRED stwierdza, że lukę mógł wykorzystać wyłącznie atakujący, który już miał wrogie oprogramowanie uruchomione na komputerze ofiary. Wardle określił jej wykorzystanie jako „absurdalnie trywialne”, a jego proof of concept wymagał około tuzina linii kodu. Poza dostępem do historii czatów luka mogła posłużyć do zmuszenia ChatGPT do wykonywania poleceń atakującego, na przykład sięgania do przeglądarki lub innych wrażliwych aplikacji, przy czym żądania wyglądałyby jak legalne instrukcje od oprogramowania OpenAI [1]. The420.in powtarza tę relację i dodaje radę, by aktualizować ChatGPT i system operacyjny [2].
Rzecznik OpenAI Shane Bauer powiedział WIRED: „Stale rozwijamy nasze praktyki bezpieczeństwa, ale dostrzegamy potrzebę szybszego działania”. Wardle powiedział WIRED, że im więcej funkcji dodają firmy AI, tym szersza staje się powierzchnia ataku, a bezpieczeństwo wciąż często wydaje się sprawą drugorzędną. Dodał, że zgłosił OpenAI kolejne ustalenie dotyczące integracji ChatGPT ze stale aktywnym asystentem Dots, które OpenAI analizuje, i że planuje przedstawić analizę kilku błędów w aplikacjach AI na macOS na konferencji Objective by the Sea w listopadzie [1].
Znaczenie dla użytkowników Maca
Luka była problemem drugiego etapu: wymagała, by wrogi kod był już obecny, i została usunięta przed publikacją artykułu [1]. Jej znaczenie polega na tym, co pokazuje o aplikacjach AI jako celach ataku. Aplikacja, która przechowuje historię rozmów i może sterować przeglądarką, zawiera więcej informacji o człowieku niż większość pojedynczych aplikacji, więc słabość jej wewnętrznych mechanizmów zaufania ma szerszy zasięg.
Zalecenia
- Aktualizuj aplikację ChatGPT i każdego innego asystenta AI na Macu oraz instaluj aktualizacje macOS na bieżąco.
- Instaluj oprogramowanie wyłącznie z weryfikowalnych źródeł, ponieważ opisana luka wymagała wrogiego kodu na komputerze.
- Sprawdź w Ustawieniach systemowych, w sekcji Prywatność i ochrona, które aplikacje AI mają szerokie uprawnienia, i usuń te, które nie są potrzebne.
- Traktuj przechowywaną historię czatów jako wrażliwe pliki i nie umieszczaj w niej poświadczeń ani dokumentów osobistych.
- Sprawdzaj, które aplikacje AI łączą się z internetem i z jakimi celami.
Związek z FireAI
FireAI to zapora dla jednego Maca. Jego Profil agenta rozpoznaje ChatGPT, w tym dots od OpenAI, wśród 19 agentów AI, uczy się, z czym każdy z nich zwykle się łączy, i oznacza pierwszy w historii cel lub skok wysyłania danych, korzystając wyłącznie z nazw hostów i liczby bajtów. Strona Aktywność wyświetla każdą aplikację, która łączyła się z siecią, od najnowszej.
FireAI nie naprawia luk w aplikacjach innych producentów, nie sprawdza kontroli podpisów wewnątrz aplikacji ChatGPT i nie może powstrzymać lokalnego kodu przed nadużyciem wewnętrznych komponentów aplikacji. Nie czyta historii czatów ani treści połączeń. Może pokazać, dokąd aplikacja wysyła dane przez sieć; nie może pokazać, o co lokalny proces poprosił aplikację.
Ograniczenia
Opis opiera się na artykule WIRED i jednym streszczeniu wtórnym. Na potrzeby tego wpisu nie pobierano dziennika zmian OpenAI, więc nie podano tu brzmienia poprawki ani wersji aplikacji, których dotyczyła. Źródła nie opisują żadnego wykorzystania luki poza proof of concept badaczy, a WIRED zaznacza, że jego artykuł został zaktualizowany 2 października, aby szerzej wyjaśnić, jak można było wykorzystać lukę [1].
Wypróbuj FireAI od HisnLabs za darmo przez 17 dni.