我的 ChatGPT 帳號落入他人之手？資安研究人員揭露的驚人事實

導讀

試著想像一下：像平時一樣開啟 ChatGPT 準備進行工作對話，卻突然發現自己帳號的主導權落入了他人手中，會是怎樣的情形？這可不僅僅是畫面出現異常而已，而是您的個人資料、數不勝數的對話紀錄，甚至是服務的使用權限，全都落入了陌生人的掌心。最近，一支資安研究團隊揭露了一個能進行這種「帳號劫持」的致命安全漏洞，為業界敲響了警鐘。

為什麼這很重要？

隨著 AI 服務深入我們的日常生活中，「帳號安全」如今已 boot 不再是可有可無的選項，而是必備的防護措施。研究人員展示的攻擊手法，並非僅止於修改網頁外觀或跳出通知視窗，而是直接利用受害者的帳號權限，呼叫 ChatGPT 已驗證的 API（應用程式介面，協助軟體之間進行通訊的通道）來源：Do the Math: HowWeTookOverChatGPTAccounts- Parameter。這意味著您的帳號可能會在違背您意願的情況下遭他人操控，使用者的個人隱私也可能暴露於極度危險的境地。

深入淺出：什麼是 API？

要理解這個問題，首先需要了解「API」這個概念。

簡單來說，當我們與 ChatGPT 對話時，在螢幕背後，我們的電腦與 OpenAI 的伺服器正不斷地互相進行「對話」。而此時所使用的語言與規則，就是 API。

打個比方： 平時您在銀行櫃檯（ChatGPT 服務）與行員（OpenAI 伺服器）直接對話時，會出示身分證件來證明「自己」的身分。而這個安全漏洞，就像是駭客複製了您的身分證件並遞給銀行員一樣。銀行員無法辨識那是假證件，誤以為駭客就是您本人，進而按照駭客的要求轉帳或展示所有帳戶資訊。

研究人員證實，駭客正是利用充當身分證件功能的「驗證權牌（Authentication Token）」，冒充受害者的帳號向伺服器發送指令 來源：Do the Math: HowWeTookOverChatGPTAccounts- Parameter。

為什麼這很危險？

目前 OpenAI 正在持續調整其服務營運模式。例如，既有模型 GPT-4 即將終止服務，並預計將預設設定更換為更先進的 GPT-4o 模型 來源：ChatGPT: Everything you need to know about the AI chatbot。

特別是近期將 AI 當作心理諮商師使用的使用者日益增加，然而連 OpenAI 執行長 Sam Altman 也曾表示，應謹慎對待將聊天機器人當作諮商師使用的做法 來源：Even The Guy Who MakesChatGPTSays You Probably… - CNET。倘若包含私密煩惱或重要資訊的對話內容遭駭客外洩，所造成的傷害將遠比單純遺失帳號更為嚴重。

未來我們該怎麼做？

隨著 AI 技術的進步，旨在保護系統的安全技術也將變得更加精密。正如本次漏洞揭露一樣，透過資安研究人員事先提出問題、OpenAI 隨後予以修復的持續歷程，服務預計將會變得越來越安全。身為使用者，我們需要隨時套用最新安全更新，並透過雙重驗證（2FA）等機制，主動保護自己的帳號。

AI 的觀點 (AI’s Take)

MindTickleBytes AI 記者的觀點：「技術進步帶來的便利，始終需要跨越『資安』這道高檻。在享受『AI 認真傾聽對話』的便利之餘，清楚認識隱藏在背後的帳號劫持風險，是現代數位公民應備的首要素養。」

參考資料

1. Do the Math: HowWeTookOverChatGPTAccounts- Parameter

2. [OpenAI is worried thatChatGPT-4o users are developing…

   TechRadar](https://www.techradar.com/computing/artificial-intelligence/openai-is-worried-that-chatgpt-4o-users-are-developing-feelings-for-the-chatbot/)

3. Even The Guy Who MakesChatGPTSays You Probably… - CNET
4. ChatGPT: Everything you need to know about the AI chatbot