Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Autor materiału opisał, jak analiza ruchu sieciowego w narzędziach deweloperskich Chrome pozwoliła znaleźć lukę w wyszukiwarce Google. Za zgłoszenie panel nagród Google przyznał 13 337 dolarów. Ta sama metoda miała też ujawnić dane dotyczące źródeł i okien świeżości wykorzystywanych przez ChatGPT.
Najważniejsze
- Lukę odkryto, analizując żądania w karcie Network narzędzi deweloperskich Chrome, otwieranej klawiszem F12.
- Jak podaje autor, odpowiedź serwera zawierała dane wewnętrzne Google, m.in. wyniki jakości strony i czas ostatniej istotnej aktualizacji dokumentu.
- Panel nagród Google przyznał 13 337 dolarów i ocenił prawdopodobieństwo wykorzystania jako wysokie.
- Według autora te same dane pokazały źródła wyników ChatGPT oraz okna świeżości, o które model prosi przy wyszukiwaniu.
Jak działa analiza ruchu sieciowego
Przeglądarka wysyła do usług zaplecza zapytania i otrzymuje odpowiedzi. W karcie Network, po wybraniu filtra Fetch/XHR, widać listę żądań. Każde żądanie ma cztery zakładki, które opisuje poniższa tabela.
| Zakładka | Co zawiera |
|---|---|
| Headers | Instrukcje i metadane żądania |
| Payload | Dane wysłane do serwera |
| EventStream | Dane przychodzące na żywo; ChatGPT używa ich podczas generowania odpowiedzi |
| Response | Odpowiedź serwera |
Autor wskazuje, że wyszukiwarka składa się z wielu podsystemów, które wymieniają między sobą wyniki i sygnały. Czasem te dane przechodzą przez przeglądarkę.
Luka i nagroda
Według opisu autora analiza adresu zwrotnego jednego z żądań asynchronicznych Google pozwoliła zmienić jeden z parametrów. Po tej zmianie serwer zwrócił ustrukturyzowane dane. Autor wymienia wyniki jakości strony, odwrotną częstość dokumentów, czas ostatniej istotnej aktualizacji oraz adres IP serwera.
Autor podaje, że zgłosił lukę do programu Google Vulnerability Reward Program około rok po jej znalezieniu. Panel przyznał 13 337 dolarów, określił wykorzystanie jako wysoce prawdopodobne i zakwalifikował metodę jako nadużycie o dużym wpływie. Materiał nie podaje, czy i kiedy Google poprawiło działanie tego adresu.
Co materiał mówi o ChatGPT
Autor pisze, że dzięki tej analizie jako jeden z pierwszych zidentyfikował zestawy źródeł, z których ChatGPT pobiera wyniki, a później okna świeżości, o które model prosi przy wyszukiwaniu. Wskazuje też, że Reddit nadal jest czytany przez ChatGPT w podobnym stopniu, choć rzadziej bywa cytowany. Materiał nie podaje liczb dotyczących tych zjawisk.
Co to oznacza w praktyce
- Właściciele stron mogą sprawdzić w karcie Network, czy odpowiedzi ich serwerów nie zawierają danych technicznych, takich jak adresy IP czy znaczniki czasu.
- Testowanie cudzych usług poza zakresem programu nagród za błędy może naruszać regulamin. Zgłoszenia należy kierować wyłącznie do programu danej firmy.
- Firmy obserwujące widoczność w ChatGPT mogą uwzględnić wskazane w materiale Reddit i świeżość treści jako obszary do monitorowania. Materiał nie podaje jednak danych liczbowych, które pozwoliłyby oszacować ich wagę.
Analiza żądań sieciowych to narzędzie diagnostyczne. Zanim wyciągniesz wnioski z cudzych danych, sprawdź, czy twoja strona nie ujawnia w odpowiedziach informacji technicznych, a każdy błąd zgłaszaj wyłącznie w oficjalnym programie.
Komentarz redakcji Info24
Czytaj także
- Google przypomina: przy łataniu PHP zwracaj 503, nie 404 ani 200
- OpenAI opisuje, jak ChatGPT wybiera i wyświetla reklamy
- Google: robots.txt kontroluje crawlowanie, nie wykorzystanie treści
- Google Ads dodaje test A/B dla grup zasobów
Najczęstsze pytania
Czym jest karta Network w Chrome?
Karta Network w narzędziach deweloperskich Chrome pokazuje żądania wysyłane przez przeglądarkę oraz odpowiedzi serwerów. Otwiera się ją klawiszem F12. Filtr Fetch/XHR ogranicza listę do żądań danych.
Ile wynosiła nagroda za lukę w Google?
Panel nagród Google Vulnerability Reward Program przyznał 13 337 dolarów. Według materiału zgłoszenie zostało wysłane około rok po znalezieniu luki.
Czy Google potwierdziło szczegóły luki?
Materiał nie podaje oficjalnego komunikatu Google o szczegółach luki. Dostępne są opis autora oraz ocena panelu nagród, którą autor cytuje. Komunikat nie podaje, czy i kiedy zachowanie zostało poprawione.
Czy ChatGPT nadal korzysta z Reddita?
Według autora ChatGPT nadal czyta treści z Reddita w podobnym stopniu, choć rzadziej je cytuje. Materiał nie podaje liczb ani odpowiedzi OpenAI na te obserwacje.
