ثغرة ChatGPhish: كيف يحول المخترقون ملخصات ChatGPT إلى كمائن تصيد احتيالي

عندما يلخص ChatGPT صفحة ويب، فإنك تثق بالروابط والأزرار التي تراها في رده. هذه الثقة هي بالضبط ما تستغله ثغرة ChatGPhish.

كشفت شركة Permiso Security المتخصصة في الأمن السيبراني عن ثغرة ChatGPhish في 29 مايو 2026، وهي تقنية حقن أوامر عبر المتصفح تحول خاصية تلخيص صفحات الويب في ChatGPT إلى منصة لتوصيل هجمات التصيد . على عكس الهجمات السابقة التي ركزت على سرقة البيانات بشكل خفي، تستخدم هذه الثغرة واجهة المساعد الذكي نفسه لتقديم روابط يتحكم فيها المخترق، ونماذج تسجيل دخول مزيفة، وتنبيهات أمنية تبدو كأنها جزء أصيل من ردود ChatGPT. فيما يلي آلية عملها، وتاريخ ثغرات حقن الأوامر التي مهدت لها، وما قالته (وما لم تقله) OpenAI حتى تاريخ الكشف.

كيف تتلاعب ChatGPhish بمُصيّر Markdown في ChatGPT؟

الهجوم بسيط لكنه فعال لأنه يستهدف افتراضًا أساسيًا بالثقة: وهو أن مُصيّر الردود في ChatGPT يتعامل مع روابط وصور Markdown القادمة من صفحات الطرف الثالث على أنها محتوى موثوق، فيقوم بجلب الصور تلقائيًا ويعرض الروابط كعناصر حية قابلة للنقر داخل واجهة المستخدم الخاصة بالمساعد .

تسير سلسلة الهجوم عبر ثلاث مراحل:

1. إعداد صفحة خبيثة — يستضيف المخترق صفحة ويب تحتوي على روابط Markdown مخفية، وصور، وتنبيهات أمنية مزيفة مصممة لتبدو مقنعة. تبدو الصفحة طبيعية لأي زائر عادي، لكنها تخفي بداخلها تعليمات صُممت ليتم تحليلها بواسطة نظام التلخيص في ChatGPT.
2. تحفيز عملية التلخيص — يطلب المستخدم من ChatGPT تلخيص الصفحة. يقوم ChatGPT بمعالجة محتوى الصفحة، والأهم من ذلك، يفسر حمولة Markdown التي أعدها المخترق كجزء من مخرجات الرد الشرعية.
3. توصيل طُعم التصيد — داخل واجهة ChatGPT الموثوقة، تظهر روابط وتنبيهات المخترق كمحتوى طبيعي من المساعد. المستخدم الذي ينقر على رابط أو يتبع تعليمات ما يظن أنه إجراء أوصى به ChatGPT، يتم توجيهه إلى صفحة لجمع بيانات الدخول، أو رابط لتحميل برمجيات خبيثة، أو رمز استجابة سريعة (QR Code) يقوده إلى موقع تصيد .

لأن ChatGPT لا يقوم بتنقية محتوى Markdown القادم من صفحات الويب بشكل كافٍ قبل عرضه، فإن أي صفحة طرف ثالث يتصفحها النموذج تتحول إلى ناقل محتمل للتصيد. هذه ليست ثغرة في البنية التحتية لخوادم OpenAI، بل هي نقطة ضعف في جانب العرض بالمتصفح تستغل الثقة التي يضعها المستخدمون في المخرجات البصرية لـ ChatGPT.

التسلسل الزمني: ثغرات حقن الأوامر التي قادت إلى ChatGPhish

لم تظهر ChatGPhish من فراغ. إنها أحدث فصل في تصعيد استمر لسنوات في تقنيات حقن الأوامر، والتي تزامنت مع كل قدرة جديدة تضيفها OpenAI إلى ChatGPT. فعندما حصل النموذج على إمكانية تصفح الويب، وتنفيذ الأكواد، ودعم الإضافات، والذاكرة، وجد المخترقون أسطح هجوم جديدة لحقن التعليمات وسرقة البيانات.

إليك أهم المحطات على طريق ChatGPhish:

• نوفمبر 2022 — نشأة حقن الأوامر: تمت تسمية وإثبات مفهوم حقن الأوامر ضد نموذج GPT-3 قبل 13 يومًا فقط من إطلاق ChatGPT في 30 نوفمبر 2022. وخلال ساعات من الإطلاق، تجاوز المستخدمون طبقة الأمان باستخدام تقمص الشخصيات ولعب الأدوار .
• 2023–2024 — حقن الأوامر غير المباشر وسرقة البيانات عبر Markdown: اكتشف الباحثون أن عرض صور Markdown في ChatGPT يمكن استغلاله لتسريب بيانات المحادثة. كان المهاجمون يرفعون أوامر خبيثة إلى مواقع عامة؛ وعندما يتفاعل ChatGPT معها، يرد بوسوم صور Markdown تجلب تلقائيًا عناوين URL خارجية تحتوي على البيانات المسروقة .
• مايو 2024 — تسريب البيانات الشخصية عبر خاصية الذاكرة: أظهرت ورقة بحثية أن نماذج ChatGPT 4 و 4o كانت عرضة لهجمات حقن أوامر يمكنها استرداد بيانات المستخدمين الشخصية، وزادت خاصية الذاكرة من حجم التعرض للخطر .
• مارس 2025 — ثغرة CVE-2025-43714 (حقن SVG/HTML): وُجد أن ChatGPT يعرض مستندات SVG بشكل مضمن في المتصفح بدلاً من عرضها كنص عادي داخل كتل الأكواد. مكّن هذا المخترقين من حقن أكواد HTML عشوائية يمكن استغلالها لهجمات تصيد مباشرة داخل واجهة ChatGPT .
• فبراير–مارس 2026 — تسريب البيانات عبر DNS وحقن صور Markdown: كشفت Check Point عن ثغرة في بيئة تنفيذ الأكواد في ChatGPT تسمح باستخدام أنفاق DNS لسحب بيانات المحادثات. قامت OpenAI بمعالجتها في 20 فبراير 2026. وفي الشهر نفسه، ظهر ناقل هجوم منفصل يستخدم روابط صور Markdown خبيثة لتسريب سجلات المحادثة وأوامر النظام ومدخلات المستخدمين عبر استعلامات DNS .
• مايو 2026 — ChatGPhish: تجمع هذه الثغرة بين عدة خيوط: حقن الأوامر غير المباشر، والعرض غير الموثوق لـ Markdown، وخاصية تلخيص الصفحات. الفارق الجوهري أن ChatGPhish صُممت لتكون أداة تصيد نشط — أي تقديم محتوى تصيد حي داخل واجهة ChatGPT الموثوقة — بدلاً من أن تقتصر على سرقة البيانات الخفية .

كل خطوة في هذا التسلسل الزمني تُظهر النمط نفسه: كل قدرة جديدة تُضاف إلى ChatGPT تفتح سطح حقن جديد، ويُثبت مُصيّر Markdown مرارًا أنه الحلقة الأضعف لأنه يثق ضمنيًا في المحتوى القادم من صفحات خارجية.

استجابة OpenAI حتى أواخر مايو 2026

حتى 29-30 مايو 2026، وثّقت التقارير المتاحة الإعلان العلني من Permiso Security عن ثغرة ChatGPhish في 29 مايو، ولكن لم يُبلغ عن أي بيان عام أو تصحيح من OpenAI خاص بهذه الثغرة .

لم تكن OpenAI مكتوفة الأيدي فيما يتعلق بالأمن خلال هذه الفترة. فقد تعاملت الشركة مع حادثتين منفصلتين في مايو 2026 لا ترتبطان بـ ChatGPhish:

• 13 مايو 2026 — نشرت OpenAI ردها الرسمي على هجوم سلسلة التوريد TanStack npm (المعروف بـ "Mini Shai-Hulud")، مؤكدة تعرض جهازين للموظفين للاختراق دون وصول إلى بيانات المستخدمين .
• 14 مايو 2026 — أجبرت الشركة مستخدمي تطبيق ChatGPT على نظام macOS على التحديث كجزء من احتواء حادثة سلسلة التوريد نفسها .

الفجوة بين الكشف عن ChatGPhish وأي اعتراف من OpenAI بها كبيرة، فهي تترك سطح هجوم تلخيص الويب في ChatGPT مكشوفًا مؤقتًا، والجمهور الآن على علم بمسار تصيد لا يتطلب أكثر من أن يطلب المستخدم من ChatGPT تلخيص صفحة ويب أُعدت بعناية.

السياق الأوسع والآثار المترتبة

تكتسب ChatGPhish أهميتها لأنها تهاجم ثقة الواجهة التي تجعل مساعدي الذكاء الاصطناعي مفيدين. فعندما يتصفح ChatGPT الويب، ويلخص صفحة، ويقدم روابط داخل واجهته، لا يملك المستخدم أي إشارة بصرية تفيد بأن تلك الروابط نشأت من طرف ثالث غير موثوق وليس من OpenAI نفسها.

على المؤسسات التي تسمح لموظفيها باستخدام ميزات التصفح في ChatGPT أن تتعامل مع ملخصات الويب على أنها مصدر محتوى غير موثوق إلى أن تُصدر OpenAI تصحيحًا. كما تسلط الثغرة الضوء على توتر معماري متكرر: مساعدو الذكاء الاصطناعي الذين يمزجون بين واجهة مستخدم أصلية وبيانات خارجية يحتاجون إلى مصيّرات تتعامل مع كل محتوى خارجي على أنه عدائي محتمل، وليس مجرد نص للعرض.