本月，德國安全研究員Benjamin Flesch通過微軟的GitHub分享了一篇文章，解釋了如何通過向ChatGPT API發送單個HTTP請求，利用ChatGPT爬蟲（特別是 ChatGPT-User）向目標網站發起大量網絡請求。攻擊者可以將單個API請求放大為每秒20到5000次甚至更多的請求，持續不斷地發送到目標網站。從實際操作來看，這種連接的洪流雖然不足以使任何網站癱瘓，但仍被認為是一種潛在的危險，也暴露了OpenAI 的疏忽。

Flesch在他的報告中指出：“ChatGPT API在處理向 https://chatgpt.com/backend-api/attributions發送的HTTP POST請求時，表現出嚴重的質量缺陷。”他提到的API端點，被ChatGPT用于返回聊天機器人輸出中引用的網絡來源信息。當ChatGPT提到特定網站時，它會調用“attributions”接口，并附帶這些網站的URL列表，供爬蟲訪問并獲取相關信息。如果向API發送一個包含大量URL的列表，每個URL略有不同但都指向同一個網站，爬蟲會立即訪問所有這些URL 。

Flesch寫道：“API期望在參數urls中接收一個超鏈接列表。眾所周知，指向同一網站的超鏈接可以以多種不同的方式編寫。由于編程實踐不當，OpenAI沒有檢查列表中是否多次出現指向同一資源的超鏈接。 OpenAI也沒有對urls參數中存儲的超鏈接數量設置上限，從而允許在單個HTTP請求中傳輸數千個超鏈接。”

因此，攻擊者可以使用Curl等工具向ChatGPT端點發送HTTP POST請求，無需身份驗證令牌。OpenAI在微軟Azure上的服務器將響應此請求，并為通過urls[]參數提交的每個超鏈接發起HTTP請求。當這些請求指向同一個網站時，可能會使目標網站不堪重負，出現DDoS癥狀——由Cloudflare代理的爬蟲每次都會從不同的IP地址訪問目標網站。

“受害者永遠不會知道發生了什么，因為他們只看到同一時間，ChatGPT機器人從大約20個不同的IP地址訪問他們的網站。”Flesch說。他還補充道，即使受害者啟用了防火墻來阻止ChatGPT機器人使用的IP地址范圍，機器人仍然會發送請求。“因此，一個失敗或被阻止的請求，不會阻止ChatGPT機器人在下一毫秒再次請求受害者網站。由于這種放大效應，攻擊者可以向ChatGPT API發送少量請求，但受害者將收到大量請求。”

Flesch 通過多個渠道報告了這一未經身份驗證的反射型DDoS漏洞，包括OpenAI的BugCrowd漏洞報告平臺、OpenAI安全團隊的電子郵件、微軟和HackerOne，但至今未收到任何回復。

Flesch認為更大的問題是這個API還容易受到提示注入攻擊。Flesch質疑，為什么OpenAI機器人沒有實現簡單且成熟的方法，以正確去重請求列表中的URL，或者限制列表的大小，也沒有解決在ChatGPT主界面中已修復的提示注入漏洞。

Flesch 說：“在我看來，這個小API似乎是ChatGPT AI代理的一個示例項目，任務是從用戶提供的數據中解析出URL，然后使用Azure抓取網站。‘AI代理’沒有內置安全功能嗎？因為負責處理urls[]參數的‘AI代理’似乎完全沒有資源耗盡的概念，也不明白為什么同一秒內向同一個網站發送數千個請求是愚蠢的行為。難道它沒有意識到victim.com/1和victim.com/2都是指向同一個網站victim.com嗎？如果victim.com/1的請求失敗了，為什么還會立即向victim.com/2發送請求呢？這些都是人們多年來一直在軟件中實施的驗證邏輯，以防止此類濫用現象出現。 ”

Flesch表示，唯一能想到的解釋是OpenAI正在使用AI代理來觸發這些HTTP請求。“我無法想象一個高薪的硅谷工程師會設計出這樣的軟件，因為ChatGPT爬蟲已經像谷歌爬蟲一樣在網絡上爬行了多年。如果爬蟲不限制對同一網站的請求數量，它們會立即被屏蔽。”

參考來源：https://www.theregister.com/2025/01/19/openais_chatgpt_crawler_vulnerability/