يسمح التحقق غير السليم من الشهادات في عميل بث WebSocket للمهاجم الموجود على مسار الشبكة بقراءة وتعديل جلسات WebSocket الخاصة بـ OpenAI، بما في ذلك رمز حامل التفويض `authorization`. تقوم الدالة `ReqLLM.Streaming.WebSocketSession.Client.start/3` في `lib/req llm/streaming/web socket session/client.ex` بتشغيل WebSockex بدون خيارات TLS. وبما أن WebSockex يضبط القيمة الافتراضية على `insecure: true` ، فإنه يتصل باستخدام `verify: :verify none` ، مما يؤدي إلى قبول أي شهادة. بالإضافة إلى ذلك، تقوم قائمة السماح بالخيارات بإسقاط `cacerts` أو `ssl options` المقدمة من المستدعي، مما يمنع التطبيقات من تفعيل التحقق. يؤثر هذا على مسارات WebSocket الخاصة بـ OpenAI Responses و Realtime و Codex، والتي ترسل مفتاح API أو رمز وصول OAuth في رأس `authorization`.