Błąd w ChatGPT dla macOS pozwalał ominąć kontrole zaufania aplikacji

Badacze z Objective-See Foundation wykryli lukę w aplikacji ChatGPT na macOS. Mogła ona sprawić, że program uznał polecenia przekazane przez niezaufany skrypt za pochodzące od zaufanego komponentu. Atakujący musiał wcześniej uruchomić kod na komputerze ofiary, ale nie potrzebował do tego uprawnień administratora. Wykorzystanie błędu mogło pozwolić przejąć samą aplikację i uzyskać dostęp do danych, które były dla niej dostępne. 247

Gdy zaufany interpreter przenosił niezaufane polecenia

ChatGPT dla macOS sprawdzał procesy i podpisy cyfrowe, by odróżnić zaufane komponenty od nieznanego kodu. Problem polegał na tym, że napastnik mógł użyć zaufanego interpretera skryptów do przekazania niezaufanego skryptu do aplikacji. W praktyce kontrola ufała interpreterowi, nie weryfikując wystarczająco, czy zaufany jest również skrypt i dostarczane przez niego polecenia. 45

Był to atak lokalny: złośliwy kod musiał już działać na tym samym Macu. Według opisów luki nie wymagał podwyższonych uprawnień, więc atakujący nie musiał zaczynać od dostępu administratora ani roota. 78

Co mogło znaleźć się w zasięgu atakującego?

Jeśli polecenia zostałyby przyjęte jako pochodzące od zaufanego komponentu ChatGPT, napastnik mógł potencjalnie odczytać zapisane rozmowy i wydawać polecenia za pośrednictwem aplikacji. Wśród możliwych skutków wymieniano także dostęp do danych lub usług połączonych z ChatGPT, na przykład sesji przeglądarki. 247

Nie oznacza to jednak, że luka dawała nieograniczoną kontrolę nad całym komputerem. Opisywany dostęp prowadził przez przejętą aplikację i zależał od danych oraz integracji, z których mogła ona korzystać. 27

Poprawka jest dostępna

W dzienniku zmian OpenAI odnotowało naprawę luki CVE-2026-100754 dla macOS 25 września 2026 r. Poprawka znalazła się w wersji ChatGPT 26.924.20706. Publiczne doniesienia o problemie pojawiły się 2 października. Osoby korzystające z aplikacji na Macu powinny zainstalować tę wersję lub nowszą. 247

Dlaczego ta luka jest ważna dla użytkowników asystentów AI

Asystent AI może być atrakcyjnym celem nie tylko ze względu na to, co generuje, lecz także przez to, do czego ma dostęp i jakie działania może wykonywać. Historia rozmów oraz połączone usługi sprawiają, że przejęta aplikacja może stać się drogą do wrażliwych informacji. 2

Szersza lekcja dotyczy granic zaufania: samo potwierdzenie, że proces ma podpis lub jest uznawany za zaufany, nie wystarczy, jeśli może on przekazywać aplikacji niezaufane instrukcje. Objective-See zapowiada dalsze badania nad bezpieczeństwem agentów AI — obszarem, w którym warto sprawdzać nie tylko, jaki program wysyła polecenie, ale też skąd pochodzi jego treść. 14