В приложении ChatGPT для macOS обнаружили уязвимость, которая позволяла уже запущенному на компьютере непривилегированному коду выдавать свои команды за запросы доверенных компонентов OpenAI и потенциально получать доступ к переписке, данным и интеграциям приложения. Разработчики исправили проблему и раскрыли детали, сообщает WIRED.
Уязвимость обнаружили исследователи Objective-See Foundation. Она получила идентификатор CVE-2026-100754, патч вошел в версию приложения 26.924.20706. Представитель OpenAI Шейн Бауэр заявил изданию, что разработчик продолжает совершенствовать практики безопасности, но признает необходимость двигаться быстрее.
Как обходилась проверка доверия
Атакующий использовал особенности локальной архитектуры приложения и механизма доверия между процессами.
Компоненты приложения ChatGPT проверяют цифровые подписи друг друга, чтобы отличать доверенные процессы OpenAI от стороннего ПО. Проверка распространялась не только на процесс, непосредственно отправляющий запрос, но и на родительский и прародительский.
Исследователи обнаружили в доверенной цепочке интерпретатор скриптов, способный запускать недоверенный код. По их словам, вредоносный скрипт мог последовательно активировать интерпретатор три раза, после чего основной процесс приложения воспринимал запрос как поступивший от доверенного компонента OpenAI.
Потенциальные последствия зависели от того, к каким данным и приложениям уже имел доступ ChatGPT. По данным WIRED, после обхода проверки локальный код мог читать доступные приложению журналы переписки, взаимодействовать с подключенными ресурсами и заставлять ChatGPT выполнять команды с его собственными разрешениями.
Например, это могло затрагивать браузер или другие приложения, если пользователь ранее предоставил ChatGPT соответствующий доступ. Для системы такие запросы выглядели бы как исходящие от легитимного компонента OpenAI.
При этом уязвимость не предоставляла автоматический доступ ко всему содержимому Mac. Возможности атаки ограничивались локальными данными ChatGPT и ресурсами, к которым приложение уже имело разрешенный доступ.
В Objective-See Foundation связали подобные риски с растущими возможностями ИИ-ассистентов. Для выполнения задач они получают доступ к браузеру, другим приложениям и пользовательским данным. Компрометация такого ПО поэтому потенциально открывает путь к большему числу ресурсов системы.
Напомним, в сентябре исследователи из Hacktron AI получили доступ к внутреннему репозиторию OpenAI, перехватив аккаунт сотрудника. Подобрать рабочий способ атаки им помогли модели Claude от Anthropic.
В 2024 году OpenAI исправила уязвимость с незашифрованными переписками с ChatGPT на macOS.
