Theo The Hacker News , Vào ngày 20 tháng 3 năm 2023, OpenAI đã thông báo về sự cố bảo mật xảy ra trên dịch vụ ChatGPT mới của công ty. Sự cố được phát hiện là do một lỗi trong thư viện mã nguồn mở Redis đã dẫn đến việc thông tin cá nhân và tiêu đề trò chuyện của người dùng khác bị lộ ra ngoài. Sự cố này đã khiến công ty phải tạm thời đóng chatbot. Để cải thiện an ninh, OpenAI đã thêm các kiểm tra dự phòng để đảm bảo dữ liệu được trả về bởi bộ đệm Redis của công ty khớp với yêu cầu của người dùng.
Cùng với đó, công ty cũng đã giải quyết một lỗ hổng quan trọng liên quan đến bộ nhớ đệm trên dịch vụ ChatGPT. Lỗ hổng này có thể bị khai thác để chiếm quyền kiểm soát tài khoản của người dùng khác và xem lịch sử trò chuyện cũng như truy cập thông tin thanh toán của họ. Để khắc phục lỗi này, công ty đã sửa đổi các biện pháp bảo vệ trên chat.openai[.]com để đảm bảo an toàn cho dữ liệu nhạy cảm của người dùng.
OpenAI cũng cảnh báo rằng sự cố có thể có tác động đến nhiều người dùng khác, có khả năng tiết lộ thông tin liên quan đến thanh toán của 1,2% số người đăng ký ChatGPT Plus. Thông tin này bao gồm họ và tên, địa chỉ email, địa chỉ thanh toán, bốn chữ số cuối (chỉ) của số thẻ tín dụng và ngày hết hạn của thẻ tín dụng. Tuy nhiên, số thẻ tín dụng đầy đủ không bị tiết lộ. Công ty đã liên hệ với những người dùng bị ảnh hưởng để thông báo cho họ về sự cố rò rỉ và cung cấp các biện pháp bảo vệ thích hợp để đảm bảo an toàn cho dữ liệu của họ.
OpenAI vừa tiết lộ chi tiết về lỗi Redis Bug vào tài khoản ChatGPT, với mục đích chiếm đoạt thông tin xác thực mã thông báo web JSON (JWT) của người dùng và tiếp quản tài khoản của họ. Kẻ tấn công đã sử dụng một kỹ thuật lừa đảo đặc biệt, tạo ra một liên kết chế tạo nối thêm tài nguyên .CSS vào điểm cuối “chat.openai[.]com/api/auth/session/” và lừa nạn nhân nhấp vào liên kết này. Sau đó, phản hồi chứa chuỗi accessToken được lưu vào bộ đệm trong CDN của Cloudflare. Kẻ tấn công sử dụng thông tin này để chiếm đoạt tài khoản của người dùng.
Gal Nagli, một nhà nghiên cứu bảo mật, đã phát hiện lỗ hổng này và báo cho OpenAI. Công ty đã nhanh chóng sửa lỗi trong vòng hai giờ sau khi tiết lộ trách nhiệm. Tuy nhiên, việc này nhấn mạnh mức độ nguy hiểm của cuộc tấn công này.