ChatGPT for Mac’teki güvenlik açığı sohbetleri riske atabilirdi

Objective-See araştırmacılarının bulduğu açık, ChatGPT’nin macOS uygulamasının saldırganın kontrolündeki bir betikten gelen komutları güvenilir bir bileşenden geliyormuş gibi kabul etmesine yol açabiliyordu. Saldırının gerçekleşmesi için önce hedef Mac’te kod çalıştırılması gerekiyordu; ancak bu kodun yönetici veya root yetkisine sahip olması gerekmiyordu. Açık, uygulamanın ele geçirilmesine ve uygulamanın erişebildiği verilere ulaşılmasına imkân tanıyabilirdi. 247

Güvenilir betik yorumlayıcısı nasıl kullanıldı?

ChatGPT’nin Mac uygulaması, güvenilir bileşenlerle güvenilmeyen kodu ayırt etmek için süreç ve kod imzası denetimlerinden yararlanıyordu. Araştırmacıların bulduğu sorun, güvenilir bir betik yorumlayıcısının güvenilmeyen bir betiği uygulamaya iletmek için kullanılabilmesiydi. Başka bir deyişle, denetimler yorumlayıcıya güveniyor; ancak onun taşıdığı betiğin ve komutların da güvenilir olup olmadığını yeterince doğrulamıyordu. 45

Bu, uzaktan başlatılabilen bir saldırı değildi: kötü amaçlı kodun önce aynı Mac’te çalışıyor olması gerekiyordu. Bildirilen senaryoda saldırganın bu kodu çalıştırmak için yüksek sistem yetkilerine sahip olması da şart değildi. 78

Hangi verilere erişim sağlayabilirdi?

Komutlar ChatGPT’nin güvenilir bir bileşeninden geliyormuş gibi kabul edildiğinde, saldırgan kayıtlı sohbetleri okuyabilir ve uygulama üzerinden komut gönderebilirdi. Bildirilen olası etkiler arasında ChatGPT entegrasyonlarının erişebildiği veriler ve hizmetler, örneğin tarayıcı oturumları da yer alıyordu. 247

Bu, açığın Mac’in tamamı üzerinde sınırsız denetim sağladığı anlamına gelmiyor. Tarif edilen erişim, ele geçirilen ChatGPT uygulaması ve uygulamanın mevcut izinlerle ulaşabildiği verilerle sınırlıydı. 27

OpenAI düzeltmeyi ne zaman yayımladı?

OpenAI’nin macOS değişiklik günlüğünde CVE-2026-100754 için düzeltme, 25 Eylül 2026’da yayımlanan ChatGPT 26.924.20706 sürümünde listelendi. Konuya ilişkin haberler ise 2 Ekim’de kamuoyuna yansıdı. Mac uygulamasını kullananların bu sürümü ya da daha yeni bir sürümü yüklemesi gerekiyor. 247

Yapay zekâ asistanlarının güvenliği açısından neden önemli?

Bu bulgu, bir yapay zekâ uygulamasının yalnızca ürettiği yanıtlarla değil, erişebildiği bilgiler ve kullanabildiği bağlantılı hizmetlerle de değerli bir hedef olabileceğini gösteriyor. Sohbet geçmişi ve entegre hizmetler, ele geçirilmiş bir asistanı hassas bilgilere ulaşmak için kullanılabilecek bir araca dönüştürebilir. 2

Daha geniş güvenlik dersi, uygulama içindeki güven sınırlarıyla ilgili: Bir sürecin imzalı ya da güvenilir olduğunu doğrulamak, o sürecin güvenilmeyen talimatları uygulamaya taşımasını önlemek için tek başına yeterli olmayabilir. Objective-See’nin yapay zekâ ajanlarının güvenliğine yönelik araştırmalarını sürdürdüğünü belirtmesi de, asistanların yetenekleri ve entegrasyonları genişlerken komutların kaynağının nasıl doğrulandığının incelenmesi gerektiğine işaret ediyor. 14