Peneliti Temukan Celah Keamanan Serius di ChatGPT, Berpotensi Dimanfaatkan Peretas
Tenable menemukan tujuh celah keamanan di ChatGPT yang dapat dimanfaatkan peretas untuk mencuri data dan menyisipkan instruksi tersembunyi.
Sejumlah peneliti keamanan siber mengungkap temuan celah keamanan pada ChatGPT yang berpotensi dimanfaatkan pelaku kejahatan siber untuk menyisipkan perintah tersembunyi, mencuri data sensitif, hingga menyebarkan misinformasi.
Riset ini dilakukan oleh pakar keamanan siber dari Tenable yang menguji model ChatGPT-4o dan menemukan tujuh kerentanan yang mereka sebut sebagai “HackedGPT.”
Dalam temuan tersebut, para peneliti menjelaskan celah ini memungkinkan serangan prompt injection, yaitu teknik menyisipkan instruksi tersembunyi yang kemudian diikuti oleh model tanpa disadari pengguna.
Celah yang ditemukan di antaranya adalah:
- Indirect prompt injection melalui situs tepercaya: perintah berbahaya disamarkan di situs publik dan dapat ‘dibaca’ oleh ChatGPT.
- 0-click injection: ketika ChatGPT melakukan pencarian dan tanpa sengaja mengeksekusi instruksi tersembunyi dalam halaman web.
- Prompt injection 1-click: pengguna cukup klik tautan berisi instruksi tersembunyi.
- Bypass mekanisme keamanan: instruksi berbahaya dikemas dalam link tepercaya sehingga lolos dari filter.
- Conversation injection: instruksi tersembunyi dapat tersisip dalam riwayat percakapan.
- Malicious content hiding: instruksi berbahaya disembunyikan dalam potongan kode atau markdown.
- Persistent memory injection: instruksi dapat tersimpan permanen dalam chat dan terus dijalankan.
Menurut Tenable, sebagian celah telah ditangani OpenAI di model GPT-5, namun tidak seluruhnya, sehingga potensi risiko bagi pengguna masih ada.