Небезпечна уразливість ChatGPT: як шкідливе посилання могло викрасти ваші приватні бесіди
Недавно дослідники з кібербезпеки виявили критичну вразливість у ChatGPT, яка могла дозволити зловмисникам виконувати свій код у сесії користувача, що відкрив заражене спільне посилання, і таким чином читати приватні діалоги. Команда з компанії Parameter повідомила про це через програму винагород від OpenAI 18 жовтня 2026 року. Вже за вісім днів компанія виправила проблему і визнала її найвищим ризиком — категорією P1.
Що саме загрожувало користувачам ChatGPT
Атака починалася із звичайного посилання на спільну бесіду ChatGPT, яке можна було отримати звичайним способом: у листі, повідомленні, заявці в службу підтримки чи через соціальні мережі.
Щоб потрапити в пастку, користувачу не потрібно було нічого встановлювати, приєднуватися до робочого простору або входити під чужим акаунтом. Достатньо було лише натиснути кнопку «Перегляд» (Preview) у відкритому посиланні або, у вдосконаленому варіанті, просто відкрити сторінку, і атака ставала автоматичною.
Які наслідки мала атака?
Після завантаження посилання та активації функції Preview шкідливий код запускався у сесії користувача, маючи повний контроль, як якщо б це був офіційний сайт ChatGPT. Зловмисники могли:
- переглядати список останніх чатів жертви;
- відкривати конфіденційні бесіди, які ніколи не було поширено і з якими не мали справи;
- експортовувати частину приватного діалогу на свій сервер.
Код безпосередньо інтеректував із внутрішніми API ChatGPT, не покладаючись на вміст видимого екрану. Це означало, що межі атакованого функціоналу не обмежувалися лише чатами.
Як саме зловмисники вийшли за межі безпечного середовища?
В основі експлуатації лежив механізм «Preview», який дозволяє конвертувати HTML-блоки у чаті в маленькі веб-сторінки. Щоб уникнути небезпеки, ці сторінки запускалися у підімненому, ізольованому вікні («пісочниці»), де неможливо було проникнути в основний інтерфейс ChatGPT.
Але в чатах також підтримувалися інтерактивні графіки, які використовували бібліотеку MathLive. Ця бібліотека, завантажена на головну сторінку, запускала слухача повідомлень для клавіатури на екрані, але не перевіряла джерело цих повідомлень.
Це дозволяло зловмисникам відправляти повідомлення з довільним HTML кодом з підімненого вікна без обмежень. Внаслідок цього хакери створювали новий iframe, який браузер сприймав як частину сайту chatgpt.com, де згодом завантажувався шкідливий скрипт із YouTube — єдине джерело, яке політика безпеки контенту дозволяла підвантажувати.
Як OpenAI вирішила проблему і що потрібно знати користувачам
Після детального аналізу вразливості, OpenAI змогла повторити код запуску та доступ до приватних чатів, підняла рівень серйозності з P2 до P1 та упродовж кількох днів впровадила патч у дві версії веб-інтерфейсу ChatGPT. Станом на 26 жовтня обидві версії блокували повідомлення, що використовувалися у злочинній схемі.
Причини проблеми були пов’язані з трьома ключовими рішеннями у дизайні:
- MathLive приймала повідомлення, що змінювали її налаштування, без перевірки відправника;
- повідомлення містили не тільки дані клавіатури, але й сирий HTML код;
- створення iframe без обмежень, що успадковував домен chatgpt.com.
Сам скрипт з YouTube був лише останнім етапом обходу захисту, але блокування лише його не розв’язала б проблему повністю. Основний вразливий момент дозволяв нелегітимному вмісту проникати у довірене середовище.
Користувачам нічого додатково робити не потрібно — всі зміни застосовані безпосередньо на стороні OpenAI. Немає потреби оновлювати додатки чи змінювати налаштування.
Насамкінець, дослідники з Parameter оприлюднили докладний звіт 28 жовтня після того, як було впроваджено виправлення. OpenAI винагородила їх сумою в 5 000 доларів за виявлення багу.
