พบช่องโหว่บน ChatGPT
พบช่องโหว่บน ChatGPT เมื่อสรุปย่อเว็บไซต์โดย AI สามารถเอามาใช้หลอกลวงแบบ Phishing ได้
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบช่องโหว่ในส่วนของความสามารถในการทำสรุปเว็บไซต์ (Web Summary) ของตัว ChatGPT ที่สามารถนำไปใช้ในเทคนิคหลอกลวงรูปแบบใหม่ที่เรียกว่า ChatGPhish จากการที่ตัว ChatGPT นั้นจะเชื่อในส่วนของการมาร์กดาวน์ (Markdown) ตัว URL และ รูปบนเว็บไซต์ ของแฮกเกอร์จะนำมาใช้ในการทำแคมเปญ Phishing รู ปแบบใหม่ ด้วยการใช้เทคนิคให้ตัว ChatGPT ทำสรุปเว็บไซต์ด้วยการดึง (Fetch) ส่วนของลิงก์ และ รูปภาพที่ถูกมาร์กดาวน์บนเว็บไซต์ของแฮกเกอร์เหล่านี้มาอยู่ในสภาพหน้าจอสำหรับให้ผู้ใช้งานมีปฏิสัมพันธ์ด้วย หรือ UI (User Interface) ที่ดูหน้าเชื่อถือด้วยฝีมือของ ChatGPT
โดยสามารถสรุปถึงวิธีนี้ได้ง่าย ๆ คือ แฮกเกอร์นั้นเพียงแค่ทำการเขียนโค้ดในรูปแบบการสั่งการให้แสดงผลไว้บนเว็บไซต์ของตนเอง แล้วสั่งการให้ ChatGPT ทำการสรุปหน้าเว็บไซต์ ตัว ChatGPT ก็จะทำการดึงเอาทั้งโค้ด ลิงก์ และรูปภาพที่อยู่บนหน้าเพจที่แฮกเกอร์ทำไว้คร่าว ๆ มาสร้างเป็นหน้าจอที่น่าเชื่อถือ ซึ่งทำได้ตั้งแต่การสร้างหน้าแจ้งเตือนปลอม ตลอดจนทำ QR Code เพื่อใช้ในการหลอกเหยื่อได้อย่างง่ายดายอย่างมาก ซึ่งจากวิธีการนี้นี่เอง แฮกเกอร์สามารถทำการแทรกคำสั่งดังกล่าวข้างต้นไว้ในหน้าเพจของเว็บไซต์ที่แฮกมาได้ แล้วหลังจากที่เหยื่อหลงติดกับเข้ามาในเพจดังกล่าวแล้วใช้งานคำสั่งให้สรุปหน้าเว็บไซต์ เหล่า Prompt หรือ คำสั่งที่แอบซ่อนไว้บนเพจก็จะถูกก่อร่างสร้างขึ้นมาใหม่บนหน้าจอของ ChatGPT ทำให้เหยื่อติดว่าเป็นของเว็บไซต์จริง ๆ แต่แท้จริงแล้วพอกดแล้วกลับนำไปสู่การติดมัลแวร์ เรียกได้ว่าเป็นการใช้วิธีการโจมตีแบบยิงคำสั่ง หรือ Prompt Injection วิธีหนึ่งได้เลยทีเดียว
แต่ผู้ใช้งานอาจเบาใจได้อย่างหนึ่งคือ วิธีการดังกล่าวนั้นเป็นเพียงการทดสอบของทีมวิจัยแห่งบริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์เท่านั้น จะใช้งานได้จริงหรือไม่ หรือทางบริษัทผู้พัฒนา AI จะทำการแก้ไขให้เสร็จสิ้นก่อน อาจเป็นเรื่องที่ต้องติดตามกันต่อไป
#ติดเทรนด์ #Lemon8ฮาวทู #lemon8ไดอารี่ #chatgpt #freedomhack
การค้นพบช่องโหว่ในระบบสรุปเว็บไซต์ของ ChatGPT เป็นตัวอย่างสำคัญที่แสดงให้เห็นถึงความเสี่ยงใหม่ ๆ ที่เกิดจากเทคโนโลยี AI อันล้ำยุค ถึงแม้ ChatGPT จะมีประโยชน์มหาศาลในการช่วยสรุปข้อมูลและอำนวยความสะดวก แต่ก็เปิดช่องให้แฮกเกอร์สามารถใช้เทคนิคที่เรียกว่า "ChatGPhish" ในการหลอกลวงแบบใหม่ได้อย่างน่ากังวล ในประสบการณ์ใช้ ChatGPT ของผม ผมสังเกตว่าระบบมักเชื่อมโยงข้อมูลจากโค้ด Markdown บนเว็บไซต์โดยอัตโนมัติ ซึ่งถ้าเว็บไซต์นั้นถูกแฮกและฝังลิงก์หรือ QR Code อันตราย ระบบก็จะดึงข้อมูลเหล่านั้นมาแสดงผล ทำให้ UI ที่ปรากฎออกมาดูเชื่อถือได้อย่างผิดปกติ นี่จึงเป็นช่องทางให้ผู้ใช้งานที่ไม่ระวังถูกหลอกให้คลิกลิงก์ทันที เพื่อป้องกันตนเอง ผมแนะนำให้ผู้ใช้ไม่สั่งให้ ChatGPT สรุปข้อมูลจากเว็บไซต์ที่ไม่คุ้นเคยและควรตรวจสอบ URL ของเว็บไซต์ก่อนใช้งาน รวมไปถึงให้รอข่าวจากผู้พัฒนา AI อย่าง OpenAI ในการออกแพตช์แก้ไขช่องโหว่นี้ นอกจากนี้ การตั้งค่าความปลอดภัยบนอุปกรณ์เพื่อตรวจจับมัลแวร์และหลีกเลี่ยงการคลิกลิงก์ในข้อความอัตโนมัติก็สำคัญไม่แพ้กัน ในฐานะผู้ใช้ AI ผมว่าการติดตามข่าวสารและคำแนะนำด้านความปลอดภัยเป็นสิ่งสำคัญ เพราะเทคโนโลยีทุกอย่างมีจุดอ่อนที่อาจถูกโจมตีได้ โดยเฉพาะอย่างยิ่งกับระบบที่มีการดึงข้อมูลจากแหล่งภายนอกโดยตรง เหตุการณ์นี้เป็นเตือนใจให้เราต้องระมัดระวังและไม่ไว้ใจข้อมูลที่ได้รับมาแบบลำพัง ต้องตรวจสอบถึงที่มาของข้อมูลเหล่านั้นด้วยเสมอ
