- Badacze z firmy Parameter pokazali, że publiczny link do rozmowy w ChatGPT mógł uruchomić cudzy kod na koncie osoby, która go otworzyła.
- W pokazie odczytali prywatną rozmowę ofiary. OpenAI oceniło błąd na P1, naprawiło go 26.10.2026 i wypłaciło 5000 USD nagrody.
Najkrócej: zespół firmy Parameter (autor wpisu: Mukul Goyal, 28.10.2026) znalazł w ChatGPT łańcuch błędów, przez który sam link do udostępnionej rozmowy mógł uruchomić kod napastnika na koncie osoby, która go otworzyła. Nie trzeba było nic instalować ani wklejać. Błąd jest już naprawiony.
Jak działał atak
- Łańcuch łączył trzy funkcje, niegroźne każda z osobna: publiczne udostępnianie rozmowy, interaktywny wykres i podgląd HTML.
- Podgląd działał w odizolowanej ramce, ale biblioteka matematyczna wykresu nasłuchiwała wiadomości z innych okien i nie sprawdzała nadawcy.
- Spreparowana wiadomość wstrzykiwała HTML, który tworzył nową ramkę bez piaskownicy (sandbox), a więc z tożsamością chatgpt.com. Zasady CSP badacze obeszli przez dozwolony adres zewnętrznego serwisu.
- W pokazie kod pobrał listę ostatnich rozmów, odczytał jedną prywatną rozmowę ofiary i wysłał jej mały fragment na zewnętrzny serwer.
Oś czasu i nagroda
- 18.10.2026: zgłoszenie w programie bug bounty OpenAI.
- 21.10: OpenAI odtworzyło błąd i podniosło ocenę z P2 na P1.
- 23.10: zmiany w CSP zablokowały część łańcucha.
- 26.10: obie wersje interfejsu odrzucały złośliwe wiadomości, sprawa zamknięta, nagroda 5000 USD.
Czego to uczy builderów
Autorzy podają cztery wnioski. Sprawdzaj pochodzenie i konkretne okno nadawcy, zanim przyjmiesz wiadomość, która coś zmienia. Nie przekazuj surowego HTML między oknami. Trzymaj dynamicznie tworzone dokumenty w piaskownicy, jeśli niezaufana ramka może wpływać na ich treść. Traktuj CSP jako dodatkową warstwę, a nie jedyną barierę. To dobra lista kontrolna dla każdej aplikacji z podglądem treści od użytkowników, także tej napisanej z pomocą AI.
Jak to czytać
To relacja badaczy, którzy błąd znaleźli i zgłosili: daty i ocenę P1 podają oni, nie OpenAI. We wpisie nie ma informacji, że ktoś wykorzystał błąd przed poprawką. Więcej o pułapkach w aplikacjach pisanych z AI piszę w hubie bezpieczeństwo kodu AI.