Sohbet geçmişi başlıklarını paylaşan aynı aksaklık, e-posta adreslerini ve ödeme bilgilerini de ifşa etmiş olabilir. OpenAI, bir kullanıcının sistemdeki bir hatadan yararlanarak diğer kullanıcıların sohbet geçmişlerindeki başlıkları geri çağırmasının ardından Salı günü acil bakım için çok popüler olan ChatGPT botunu çevrimdışı duruma getirmek zorunda kaldı. Şirket Cuma günü olayla ilgili ilk bulgularını açıkladı. Salı günkü olayda, kullanıcılar Reddit’te ChatGPT kenar çubuklarında diğer kullanıcıların önceki sohbet geçmişlerinin yer aldığı ekran görüntülerini yayınladı. Metnin kendisi değil, yalnızca konuşmanın başlığı görülebiliyordu. Bunun üzerine OpenAI, botu araştırmak üzere yaklaşık 10 saat boyunca çevrimdışı bıraktı. Bu araştırmanın sonuçları daha derin bir güvenlik sorununu ortaya çıkardı. Sohbet geçmişi hatası, ChatGPT Plus abonelerinin (ayda 20 dolarlık gelişmiş erişim paketi) yüzde 1,2’sinin kişisel verilerini de açığa çıkarmış olabilir.
“Pazartesi günü ChatGPT’yi çevrimdışı hale getirmemizden önceki saatlerde, bazı kullanıcıların başka bir aktif kullanıcının adını ve soyadını, e-posta adresini, ödeme adresini, kredi kartı numarasının son dört hanesini ve kredi kartı son kullanma tarihini görmesi mümkündü. Kredi kartı numaralarının tamamı hiçbir zaman ifşa edilmedi.” diye yazdı OpenAI ekibi Cuma günü. OpenAI’ın Redis istemcisi açık kaynak kütüphanesi ‘redis-py’ olarak tanımladığı hatalı kütüphane için sorun o zamandan beri yamalandı. Şirket, böyle bir ihlalin meydana gelme olasılığını küçümseyerek, bir kullanıcıyı risk altına sokmak için aşağıdaki kriterlerden herhangi birinin karşılanması gerektiğini savundu:
Pasifik saatiyle 20 Mart Pazartesi günü 01:00 ile 10:00 arasında gönderilen abonelik onay e-postasını açın. Hata nedeniyle, söz konusu zaman aralığında oluşturulan bazı abonelik onay e-postaları yanlış kullanıcılara gönderilmiştir. Bu e-postalar başka bir kullanıcının kredi kartı numarasının son dört hanesini içeriyordu, ancak tam kredi kartı numaraları görünmüyordu. Az sayıda abonelik onay e-postasının 20 Mart’tan önce yanlış adreslenmiş olması mümkündür, ancak bunun herhangi bir örneğini doğrulamadık.
ChatGPT’de, 20 Mart Pazartesi günü Pasifik saatiyle gece 1 ile sabah 10 arasında “Hesabım” ve ardından “Aboneliğimi yönet” seçeneğine tıklayın. Bu pencere sırasında, başka bir aktif ChatGPT Plus kullanıcısının adı ve soyadı, e-posta adresi, ödeme adresi, kredi kartı numarasının son dört hanesi ve kredi kartı son kullanma tarihi görünür olabilir. Bu durumun 20 Mart’tan önce de gerçekleşmiş olması mümkündür, ancak bu konuda herhangi bir teyit almadık.
Şirket bunun gelecekte tekrar yaşanmasını önlemek için kütüphane çağrılarına gereksiz kontroller eklemek, “tüm mesajların yalnızca doğru kullanıcıya ulaştığından emin olmak için günlüklerimizi programatik olarak incelemek”, “bunun ne zaman gerçekleştiğini belirlemek ve durduğunu tam olarak doğrulamak için gelişmiş günlük kaydı” gibi ek adımlar atmıştır. Şirket ayrıca sorundan etkilenen kullanıcıları uyarmak için iletişime geçtiğini söylüyor. Bu haber, Google’ın rakibi Bard AI’ın Şubat ayında Twitter’a JWST’nin bir ötegezegeni görüntüleyen ilk teleskop olduğunu yanlış bir şekilde söylediği ve CNET’in finansal açıklama yazıları yazmak için gizlice üretken yapay zeka kullandığının ortaya çıktığı (editör departmanının büyük bir kısmını işten çıkarmadan bir hafta önce) maliyetli bir kamu gafının ardından geldi. OpenAI’ın rakipleriyle aynı piyasa temelli yansımalara maruz kalıp kalmayacağını göreceğiz.