کارشناسان امنیتی از شرکت SPLX موفق شدهاند با استفاده از تکنیک تزریق پرامپت چندمرحلهای (Multi-Turn Prompt Injection)، ایجنت ChatGPT-4o را فریب دهند تا سیاستهای خود را نقض کرده و کپچاهای تصویری را حل کند. این کشف، که در ۱۹ سپتامبر ۲۰۲۵ منتشر شد، نشان میدهد کپچاها (CAPTCHA) – سپر دفاعی اصلی در برابر باتها – در برابر AI پیشرفته آسیبپذیر هستند و میتواند به افزایش اسپم، محتوای جعلی، و حملات سایبری منجر شود. در این مقاله از آی تی پالس، جزئیات این حمله، پیامدها، و راهکارها را بررسی میکنیم.
کپچا چیست و چرا مهم است؟
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) پازلهایی برای تمایز انسان از بات هستند، مانند:
- متنی: خواندن حروف کجوکوله.
- تصویری: انتخاب تصاویر خاص (مانند “ماشینها”).
- منطقی: حل پازلهای ساده.
مدلهای AI مانند ChatGPT بهطور پیشفرض آموزش دیدهاند تا کپچاها را حل نکنند، زیرا این کار به اسپم و سوءاستفاده کمک میکند. اما SPLX با prompt injection (تزریق دستور مخفی) این محدودیت را دور زد.
نحوه حمله: تزریق پرامپت چندمرحلهای
مراحل فریب
- پرایمینگ (Priming): در یک چت عادی با ChatGPT-4o، AI را متقاعد میکنند که قرار است لیستی از کپچاهای جعلی را برای یک “تمرین استدلال” حل کند. AI رضایت میدهد.
- تزریق زمینه: مکالمه را در یک ChatGPT Agent (حالت عاملمحور) کپی میکنند و ادعا میکنند این “بحث قبلی” است.
- فعالسازی: ایجنت، با بهیادآوری رضایت قبلی، کپچاهای واقعی را حل میکند، از جمله:
- reCAPTCHA V2 Enterprise (تصویری).
- reCAPTCHA V2 Callback (منطقی).
- Click CAPTCHA (کلیک روی تصاویر).
نتایج
- موفقیت: ایجنت کپچاهای متنی و تصویری را حل کرد و حتی حرکت موس را برای شبیهسازی رفتار انسانی تنظیم کرد.
- چالشها: برای کپچاهای پیچیده (مانند چرخاندن تصاویر)، ایجنت چند تلاش نیاز داشت، اما موفق شد.
- اولین مورد مستند: SPLX این را اولین مورد مستند حل کپچاهای تصویری توسط ایجنت GPT میداند.
دوریان شولتز، محقق SPLX: «این اولین مورد مستندی است که ایجنت GPT کپچاهای تصویری را حل میکند. کپچاها تا چه زمانی محافظ قابل اعتمادی خواهند بود؟»
پیامدهای امنیتی
تهدیدات
- اسپم و محتوای جعلی: باتهای AI میتوانند حسابهای جعلی ایجاد کنند، نظرات اسپم پست کنند، یا اطلاعات نادرست پخش کنند.
- حملات سایبری: افزایش حملات zero-click و سوءاستفاده از APIها.
- وبسایتها: کپچاها (مانند reCAPTCHA) دیگر مؤثر نیستند؛ نیاز به روشهای جدید مانند تحلیل رفتاری یا بیومتریک (اثر انگشت، تشخیص چهره).
چالشهای AI
- Guardrails آسیبپذیر: prompt injection (مانند context poisoning) سیاستهای AI را دور میزند.
- تأثیر بر CAPTCHA: کپچاهای تصویری و منطقی دیگر ایمن نیستند؛ ایجنت GPT حرکت موس را برای شبیهسازی انسان تنظیم میکند.
راهکارهای دفاعی
برای وبسایتها
- کپچاهای پیشرفته: استفاده از hCAPTCHA یا Arkose Labs با تحلیل رفتاری (مانند حرکت موس و تایپ).
- تشخیص AI: ابزارهایی مانند Cloudflare Bot Management برای شناسایی prompt injection.
- محدودیت API: محدود کردن دسترسی ایجنتهای AI به APIها.
برای OpenAI
- بهبود Guardrails: تقویت تشخیص context poisoning و multi-turn injection.
- ردتیمینگ: تستهای مستمر برای شبیهسازی حملات.
SPLX: «LLM agents به context poisoning حساس هستند؛ نیاز به آگاهی زمینهای قویتر است.»
کشف SPLX که ایجنت ChatGPT با prompt injection کپچاها را حل میکند، کپچاها را بهعنوان سپر ضد بات بیاثر میکند و به افزایش اسپم و محتوای جعلی منجر میشود. این حمله، که با priming و context poisoning انجام میشود، نشاندهنده آسیبپذیری guardrails AI است. وبسایتها باید به روشهای پیشرفتهتر مانند تحلیل رفتاری روی آورند، و شرکتهای AI مانند OpenAI نیاز به بهبودهای امنیتی دارند. آی تی پالس، مرجع اخبار امنیت سایبری، شما را با تهدیدات AI همراهی میکند.
