Як помилка в ChatGPT для Mac могла обійти перевірку підписів

Дослідники Objective-See виявили в ChatGPT для macOS помилку на межі довіри: застосунок міг сприйняти команди зі скрипту, який контролює зловмисник, як запити від довіреного компонента. За певних умов це могло дати змогу захопити контроль над самим ChatGPT і отримати доступ до даних, якими він міг користуватися. 247

Важливе уточнення: зловмисникові спершу потрібно було запустити код на тому самому Mac. За наявними описами, для цього коду не були потрібні права адміністратора чи root-доступ. 78

Як працював обхід перевірок

Застосунок ChatGPT для macOS перевіряв процеси та цифрові підписи, щоб відрізняти довірені компоненти від стороннього коду. Проблема полягала в тому, що шкідливий скрипт можна було передати застосунку через довірений інтерпретатор скриптів. Перевірка покладалася на довіру до інтерпретатора, але недостатньо встановлювала, чи можна довіряти самому скрипту та командам, які він передає. 45

Іншими словами, перевірка підпису процесу не гарантувала, що його вхідні команди теж походять із надійного джерела.

До яких даних міг дістатися зловмисник

Якщо команди приймалися за запити довіреного компонента ChatGPT, зловмисник міг потенційно прочитати збережені розмови й віддавати команди через застосунок. Серед можливих цілей дослідники також називали дані та сервіси, доступні через інтеграції ChatGPT, зокрема сеанси браузера. 247

Це не означає, що вразливість автоматично давала необмежений контроль над усім Mac. Описаний доступ проходив через скомпрометований застосунок і залежав від даних та інтеграцій, до яких той уже мав доступ. 27

Виправлення від OpenAI

У журналі змін OpenAI зазначила, що виправила вразливість CVE-2026-100754 для macOS 25 вересня 2026 року — у версії ChatGPT 26.924.20706. Публічні повідомлення про проблему з’явилися 2 жовтня. Користувачам застосунку для Mac варто встановити цю версію або новішу. 247

Чому це важливо для ШІ-помічників

ШІ-застосунок може бути привабливою ціллю не лише через відповіді, які він генерує, а й через доступ до приватних розмов і під’єднаних сервісів. Якщо скомпрометувати помічника, він може стати шляхом до інформації, яку користувач довірив самому застосунку. 2

Цей випадок також нагадує про ширший принцип кібербезпеки: недостатньо перевірити, що процес підписаний або вважається довіреним, якщо через нього можна передати застосунку неперевірені інструкції. Objective-See заявила, що продовжує досліджувати безпеку ШІ-агентів. Із розширенням їхніх можливостей та інтеграцій дедалі важливіше перевіряти не лише те, хто передає команду, а й те, звідки вона насправді походить. 14