Nimimerkkiä AldiPower käyttävä kehittäjä kertoi OpenAI:n kehittäjäfoorumilla 5. marraskuuta ChatGPT:n vaihtaneen kesken työnkulun liitäntää, jonka kautta se kutsui ulkoista palvelua. Viestiketju nousi myös Hacker Newsiin. Ketjussa ei ole OpenAI:n vastausta.

Liitäntä (connector) antaa ChatGPT:lle pääsyn ulkoisen palvelun työkaluihin MCP-palvelimen kautta.

Vahvistuskoodi päätyi toisen liitännän kutsuun

Kehittäjällä oli samalla ChatGPT-tilillä kaksi liitäntää samaan MCP-palvelimeen: kehittäjätilassa lisätty oma liitäntä A ja sovellushakemiston julkaistu sovellus B. Kummallakin oli oma OAuth-asiakas, joten palvelin näki samalla käyttäjällä kaksi erillistä asiakasta.

Käyttäjä pyysi toimintoa, joka vaatii vahvistuksen. Malli kutsui vahvistustyökalua liitännän A kautta, ja liitännän keskusteluun upotettu näkymä esitti muutoksen. Kun käyttäjä vahvisti muutoksen, näkymä lähetti keskusteluun kertakäyttöisen vahvistuskoodin. Malli lähetti koodin jatkokutsussa liitännän B kautta kertomatta vaihdosta käyttäjälle.

Palvelin hylkäsi kutsun, koska koodi oli sidottu liitännän A OAuth-asiakkaaseen. Kehittäjän mukaan kaikki yritykset epäonnistuivat tässä keskustelussa. Yksityiskohtaisesti lokiin kirjatussa yrityksessä koodi vahvistettiin liitännän A kautta ja lunastettiin liitännän B kautta.

Kehittäjän mukaan vaihto siirtää yhden sovelluksen tuottamaa tietoa toiselle ilman käyttäjän suostumusta. Tässä tapauksessa molemmat liitännät olivat saman tarjoajan, joten palvelimen oma tarkistus pysäytti kutsun. Jos samassa keskustelussa on kolmannen osapuolen liitäntä samalla palvelinosoitteella, sama vaihto voisi kehittäjän mukaan viedä tietoa toiselle palveluntarjoajalle. Tämä on hänen arvionsa, ei havaittu tapaus.

Kehittäjän mukaan sama MCP-osoite ei tee kahdesta liitännästä yhtä. Saman osoitteen takana palvelin voi OAuth-asiakkaan mukaan toimia eri osapuolten puolesta, esimerkiksi eri asiakasorganisaatioiden tai ympäristöjen. Hänen mielestään ChatGPT:n pitäisi yhdistää työkalukutsu liitäntään OAuth-asiakkaan eikä osoitteen perusteella ja tehdä jatkokutsu saman liitännän kautta kuin aloituskutsu.

Ilmoitus jäi tekemättä henkilötietovaatimuksen vuoksi

Toinen foorumin käyttäjä techsoft.ye kehotti ilmoittamaan löydöksestä OpenAI:n koordinoidun haavoittuvuusilmoitusmenettelyn kautta. Hän kysyi myös, vaihtuiko liitäntä jo vahvistusta käsiteltäessä vai vasta mallin valitessa jatkokutsun. Kysymykseen ei vastattu ketjussa.

AldiPower vastasi yrittäneensä ilmoittaa asiasta OpenAI:n bugipalkkio-ohjelmaan. Hänen mukaansa ohjelma vaatii jo ennen ilmoitusta henkilötietoja, kuten biometrisen tunnistuksen ja henkilökortin, ja ne pitää antaa myös ulkopuoliselle osapuolelle. Hän kertoi, ettei ole valmis antamaan niitä.