OpenAI war am Dienstag gezwungen, seinen äußerst beliebten ChatGPT-Bot für Notfallwartungen offline zu nehmen, nachdem ein Benutzer einen Fehler im System ausnutzen konnte, um die Titel aus den Chatverläufen anderer Benutzer abzurufen. Das gab das Unternehmen am Freitag bekannt erste Erkenntnisse aus dem Vorfall.
Bei dem Vorfall vom Dienstag haben Benutzer Screenshots auf Reddit gepostet, die zeigen, dass ihre ChatGPT-Seitenleisten frühere Chatverläufe von anderen Benutzern enthielten. Nur der Titel des Gesprächs, nicht der Text selbst, war sichtbar. Als Reaktion darauf schaltete OpenAI den Bot für fast 10 Stunden offline, um Nachforschungen anzustellen. Die Ergebnisse dieser Untersuchung deckten ein tieferes Sicherheitsproblem auf: Der Fehler im Chatverlauf könnte möglicherweise auch persönliche Daten von 1,2 Prozent der ChatGPT Plus-Abonnenten preisgegeben haben (ein erweitertes Zugriffspaket für 20 $/Monat).
„In den Stunden, bevor wir ChatGPT am Montag offline genommen haben, war es für einige Benutzer möglich, den Vor- und Nachnamen, die E-Mail-Adresse, die Zahlungsadresse, die letzten vier Ziffern einer Kreditkartennummer und die Kreditkarte eines anderen aktiven Benutzers zu sehen Ablaufdatum. Die vollständigen Kreditkartennummern wurden zu keinem Zeitpunkt offengelegt”, schrieb das OpenAI-Team am Freitag. Das Problem wurde inzwischen für die fehlerhafte Bibliothek gepatcht, die OpenAI als Redis-Client-Open-Source-Bibliothek redis-py identifizierte.
Das Unternehmen hat die Wahrscheinlichkeit eines solchen Verstoßes heruntergespielt und argumentiert, dass eines der folgenden Kriterien erfüllt sein müsste, um einen Benutzer einem Risiko auszusetzen:
– Öffnen Sie eine Abonnement-Bestätigungs-E-Mail, die am Montag, den 20. März, zwischen 1:00 und 10:00 Uhr Pazifikzeit gesendet wurde. Aufgrund des Fehlers wurden einige Abonnementbestätigungs-E-Mails, die während dieses Fensters generiert wurden, an die falschen Benutzer gesendet. Diese E-Mails enthielten die letzten vier Ziffern der Kreditkartennummer eines anderen Benutzers, es wurden jedoch keine vollständigen Kreditkartennummern angezeigt. Es ist möglich, dass eine kleine Anzahl von Abonnementbestätigungs-E-Mails vor dem 20. März falsch adressiert wurde, obwohl wir keine Fälle davon bestätigt haben.
– Klicken Sie in ChatGPT am Montag, den 20. März zwischen 1:00 und 10:00 Uhr pazifischer Zeit auf „Mein Konto“ und dann auf „Mein Abonnement verwalten“. aktiv Der Vor- und Nachname, die E-Mail-Adresse, die Zahlungsadresse, die (nur) letzten vier Ziffern einer Kreditkartennummer und das Ablaufdatum der Kreditkarte des ChatGPT Plus-Benutzers waren möglicherweise sichtbar. Es ist möglich, dass dies auch vor dem 20. März passiert ist, obwohl wir keine Fälle davon bestätigt haben.
Das Unternehmen hat zusätzliche Schritte unternommen, um zu verhindern, dass dies in Zukunft erneut vorkommt, darunter das Hinzufügen redundanter Prüfungen zu Bibliotheksaufrufen, „programmgesteuerte Überprüfung unserer Protokolle, um sicherzustellen, dass alle Nachrichten nur für den richtigen Benutzer verfügbar sind“ und „verbesserte Protokollierung, um festzustellen, wann dies geschieht und bestätige vollständig, dass es aufgehört hat.” Das Unternehmen sagt, dass es sich auch gemeldet hat, um betroffene Benutzer auf das Problem aufmerksam zu machen.
Diese Nachricht folgt auf einen kostspieligen öffentlichen Fauxpas, den Googles Rivale Bard AI im Februar begangen hat, als er Twitter fälschlicherweise versicherte, dass das JWST das erste Teleskop sei, das einen Exoplaneten abbildet, sowie auf Enthüllungen, dass CNET heimlich generative KI verwendet habe, um finanzielle Erklärungsbeiträge zu schreiben ( eine Woche vorher Entlassung eines beträchtlichen Teils seiner Redaktion). Ob OpenAI die gleichen marktbasierten Auswirkungen wie seine Konkurrenten erleiden wird, bleibt abzuwarten.