نقلت صحيفة النهار أن شركة الأمن السيبراني باراميتر كشفت ثغرة في «شات جي بي تي» كانت تتيح لمهاجم الوصول إلى محادثات المستخدم الخاصة عبر رابط محادثة مشترك، دون كلمة مرور أو إذن من صاحب الحساب. وبحسب النهار، تستند تفاصيل الثغرة إلى تقرير نشره موقع Notebookcheck.
وأوردت النهار أن الباحثين أبلغوا شركة أوبن إيه آي بالثغرة في 18 تشرين الأول 2026. وعالجت الشركة الثغرة في 26 تشرين الأول 2026. وبحسب الصحيفة، أعادت أوبن إيه آي تنفيذ الهجوم للتحقق منه، ورفعت تصنيف خطورته من P2 إلى P1 في 21 تشرين الأول. ثم دفعت للباحثين مكافأة إجمالية قدرها 5000 دولار.
وفق ما نقلته النهار، بدأ الهجوم بإنشاء محادثة تحتوي على كود خبيث مخفي، ثم إرسال رابطها إلى الضحية بالبريد الإلكتروني أو تطبيقات المراسلة. وعند فتح الرابط يُشغَّل الكود داخل جلسة المستخدم المسجل دخوله، فيمتد الوصول إلى محادثات خاصة لم يشاركها.
وارتبط الخلل، بحسب الصحيفة، بمكتبة MathLive المستخدمة لعرض المعادلات الرياضية. وكانت المكتبة تقبل رسائل من نوافذ خارجية وتدرج محتوى HTML دون تحقق. وسمح ذلك بإنشاء إطار غير معزول أمنياً يحمّل نصوصاً برمجية من يوتيوب.
ويقول الباحثون، بحسب النهار، إن الكود الخبيث كان بإمكانه استعراض قائمة المحادثات وفتح المحادثات الخاصة وإرسال أجزاء منها إلى خادم خارجي. وأضافوا أن الوصول إلى واجهات برمجة داخلية أتاح تنفيذ إجراءات نيابة عن المستخدم، وصولاً إلى احتمال الاستيلاء على الحساب.
وبحسب الباحثين أيضاً، احتاجت النسخة الأولى من الهجوم إلى ضغط المستخدم على زر معاينة الرابط. لكنهم طوروا نسخة تفتح المعاينة تلقائياً، بحيث يكفي فتح الرابط، بشرط وجود جلسة تسجيل دخول نشطة.
وأفادت النهار بأن المؤشرات لم ترصد ضحايا فعليين، إذ اقتصرت الاختبارات على حسابات شركة باراميتر نفسها.
على صعيد المكتبة، أوردت الصحيفة أن MathLive عدّلت إعداداتها في الإصدار 0.111.2 الصادر في 31 تشرين الأول. وبات الإصدار يقبل افتراضياً الرسائل من نطاقه الخاص فقط، ما لم يسمح المطور بغير ذلك.
ولا يزال غير معروف ما إذا كانت الثغرة استُغلت ضد مستخدمين حقيقيين خارج اختبارات باراميتر، ولا عدد المستخدمين الذين كانوا معرضين للخطر. كما أن المصدر لا يتضمن بياناً مباشراً من أوبن إيه آي.