ChatGPTda Ma'lumotlar O'rtasida Sirli Aloqa: Xavfsizlik Muammosi

ChatGPT foydalanuvchilarining xavfsizlikka oid yangi muammosi aniqlangan. Bu muammo ikki aloqa vositasi (connector) faol bo'lgan holatda sodir bo'ldi. Foydalanuvchi xabar berilmagan holda, bir vositadan ikkinchisiga o'tish sodir bo'ldi. Bu muammo xavfsizlikka ta'sir qiladi.

Muammoning Tuzilishi

Muammoni aniqlash uchun quyidagi shartlar yaratildi:

• Bir ChatGPT hisobida ikki aloqa vositasi (connector) faol bo'ldi, ular bir xil MCP serveriga bog'langan.
• Connector A — bu dasturchi rejimida qo'shilgan maxsus vosita.
• Connector B — bu ilovalar katalogidan nashr etilgan ilova.
• Har bir vosita o'zining OAuth klienti bo'lib, serverda bir foydalanuvchi uchun ikki alohida klient ko'rinadi.

Muammoni Ko'rsatish

Muammoni ko'rsatish uchun quyidagi qadamlar bajarildi:

1. Ikki vosita faol bo'lgan suhbatda, foydalanuvchining tasdiqlashini talab qiladigan harakat so'raldi.
2. Model Connector A orqali tasdiqlash vositasiga murojaat qildi. MCP Apps widgetida o'zgarish ko'rinadi. Foydalanuvchi tasdiqladi va widget bir marta tasdiqlash kodini suhbatga ui/message orqali yubordi.
3. Model ushbu kodni ishlatib, keyingi murojaatni amalga oshirdi, lekin Connector B orqali, Connector A emas.

Natijada, server murojaatni rad etdi, chunki kod Connector Aning OAuth klientiga bog'langan. Ushbu suhbatdagi har bir urinish muvaffaqiyatsiz bo'ldi. Biz detal bilan yozib olgan urinishda, kod Connector A orqali tasdiqlangan va Connector B orqali foydalanilgan. Foydalanuvchiga keyingi murojaat boshqa vositaga o'tgani haqida hech qanday xabar berilmagan.

Muammoning Sababi

Muammoning sababi shundaki, foydalanuvchi Connector A bilan suhbatni boshlaydi va Connector Aning widgetida tasdiqlaydi. Keyingi murojaat Connector B orqali amalga oshiriladi, lekin foydalanuvchi bu haqida bilmaydi. Vositalar alohida ilovalar bo'lib, alohida OAuth ruxsatnomalariga ega. Shuning uchun bu sirli o'tish bir ilovaning ma'lumotlarini boshqa ilovaga o'tkazadi, foydalanuvchi roziligisiz.

Ushbu holatda ikkala vosita bir xil provayderdan kelgan, shuning uchun server tomoni bog'lanishi murojaatni rad etdi. Agar uchinchi tomon vositasi shu suhbatda faol bo'lsa, biz ushbu sirli o'tishni bir ilovaning ma'lumotlarini boshqa provayderga o'tkazishni kutamiz, agar server URLi umumiy bo'lsa.

Kutilayotgan Xulosa

Vosita murojaatlari uning OAuth klienti bo'yicha, MCP server URLi emas, vositaga moslashtirilishi kerak. Keyingi murojaat shu vosita va OAuth klient orqali amalga oshirilishi kerak, suhbatni boshlagan vosita va OAuth klient orqali.

Bu muammo ChatGPT foydalanuvchilarining xavfsizligi uchun muhim ahamiyatga ega. Foydalanuvchilarning ma'lumotlari sirli o'tishlar orqali boshqa ilovalarga o'tkazilmaydi. Bu muammo tezda hal qilinishi kerak.

Asl manba: community.openai.com