Lỗ hổng trên tính năng xem trước mã của ChatGPT từng có thể khiến tài khoản bị chiếm đoạt
1 Chuyện gì xảy ra
Các chuyên gia bảo mật phát hiện lỗi trong tính năng chạy thử mã HTML của ChatGPT, nơi mã đáng lẽ phải bị cô lập trong khung an toàn. Do sơ hở trong cách xử lý tin nhắn của thư viện bàn phím ảo và danh sách nguồn tin cậy, kẻ tấn công có thể chèn mã độc vào trang chính. Nếu bạn đang đăng nhập ChatGPT mà nhấn vào một liên kết chia sẻ chứa mã độc này, kẻ xấu có thể âm thầm lấy cắp dữ liệu cá nhân hoặc thao tác thay bạn. OpenAI đã vá lỗ hổng này sau khi nhận được báo cáo.
2 Mức nguy hiểm: Vừa
Lỗ hổng có mức độ nguy hiểm lớn vì cho phép đánh cắp dữ liệu tài khoản qua một liên kết, nhưng OpenAI đã xử lý xong sự cố.
3 Bạn có dính không?
- Bạn có thói quen bấm vào các liên kết chia sẻ đoạn chat ChatGPT từ người lạ trên mạng không?
- Bạn có thường xuyên lưu trữ các dữ liệu nhạy cảm hoặc bí mật quan trọng trong lịch sử chat ChatGPT không?
- Bạn có đang xây dựng ứng dụng cho phép người dùng chạy thử mã HTML trực tiếp trên trình duyệt mà chưa kiểm tra kỹ việc cô lập mã không?
Trả lời "có" ở câu nào thì làm tiếp phần dưới cho câu đó.
4 Làm ngay trong 5 phút
Không dán bí mật vào khung chat AI
- Trước khi dán đoạn code lên chat, xoá hoặc thay chìa, mật khẩu, email khách bằng chữ mẫu như XXXX.
- Cất bí mật trong file .env và nhờ AI đọc tên biến, không đọc giá trị.
- Nếu lỡ dán chìa thật, đổi chìa đó ngay.
Soát code do AI viết trước khi đưa cho khách dùng
- Nhờ một phiên AI khác (không phải phiên đã viết code) đọc lại với mục đích tìm lỗi bảo mật.
- Chú ý các chỗ đăng nhập, phân quyền, nhận tiền và nhận file.
- Thử phá app như kẻ gian: sửa số trong đường link, bỏ trống ô bắt buộc.
5 Câu lệnh dán vào Claude hoặc Cursor để tự kiểm
Các câu này chỉ nhờ AI đọc và báo cáo, không tự sửa hay xoá gì.
6 Nguồn gốc
Simon Willison: bài gốc
Bài này tóm tắt và diễn giải lại, không thay thế bài gốc.
Mỗi tuần một thư gom các tin quan trọng nhất, đọc 3 phút.
Xem bản tin sắp có