Обычная ссылка на чужую переписку ChatGPT могла открыть злоумышленнику доступ к личным разговорам того, кто по ней перешёл. Специалисты Parameter проверили атаку на отдельных аккаунтах, сумели похитить фрагмент закрытого чата и добились исправления уязвимости.
Для нападения не требовалось подделывать сайт OpenAI или выманивать пароль. Атакующий создавал разговор в ChatGPT, добавлял в него специально подготовленные элементы и публиковал через штатную функцию общего доступа. Получатель видел настоящую ссылку на chatgpt.com, но вместе с открытой беседой загружался код, способный выйти за пределы изолированной области просмотра.
Цепочка начиналась с интерактивного графика и HTML Preview, функции предварительного просмотра веб-страниц. График подключал библиотеку MathLive, которая обрабатывает экранную математическую клавиатуру. Изолированный Preview отправлял ей сообщения через механизм postMessage. Библиотека принимала команды без надёжной проверки отправителя и позволяла подменять HTML-разметку клавиатуры.
Через подменённую разметку исследователи создавали встроенный фрейм без ограничивающего атрибута sandbox. Браузер воспринимал его содержимое как часть chatgpt.com. Последнюю преграду, политику безопасности содержимого CSP, удалось обойти через разрешённый сервис YouTube, возвращавший JavaScript в ответе на специально сформированный запрос. Так возникала полноценная XSS-атака.
Запущенный код работал в контексте авторизованного пользователя и обращался к внутренним API ChatGPT. В ходе проверки специалисты получили список последних диалогов, запросили сообщения из закрытой беседы, которой жертва никогда не делилась, и передали небольшой фрагмент на свой сервер. Доступ не ограничивался текстом, показанным на открытой странице.
В наиболее стабильном сценарии человеку нужно было открыть ссылку и один раз нажать Preview. Позднее исследователи добились автоматического запуска, когда хватало одного перехода по адресу. Такой вариант удалось трижды воспроизвести в отдельном аккаунте. При этом доказан именно доступ к чужим сообщениям, а не массовый захват аккаунтов или хищение всех файлов пользователей.
Команда Parameter описала атаку после устранения ошибки. Уязвимость отправили в программу вознаграждений OpenAI 18 октября 2026 года. Компания воспроизвела проблему и 21 октября повысила оценку серьёзности с P2 до P1. К 26 октября обе версии веб-интерфейса перестали принимать использованные в атаке сообщения, а исследователям выплатили 5000 долларов.
Сведений о реальных жертвах или применении атаки за пределами эксперимента Parameter не приводит. Пользователям не нужно устанавливать исправление самостоятельно, поскольку изменения внесли на стороне сервиса. Ранее общие ссылки ChatGPT уже применяли в другой схеме, маскируя под страницы настоящего сервиса приманки для загрузки вредоносного ПО.
