Mukul Goyal, chercheur chez la société de sécurité Parameter, a publié un article le 28 10 : un attaquant peut publier une conversation ChatGPT partagée publiquement, contenant un graphique interactif normal et un aperçu HTML ; après que la victime a ouvert le lien de partage (la reproduction la plus stable nécessite un clic sur le bouton d'aperçu, mais si l'aperçu automatique est activé, il suffit d'ouvrir le lien), le code malveillant s'exécute dans la session connectée de la victime en tant que chatgpt.com, pouvant lister les conversations, lire des conversations privées jamais partagées et les envoyer à un serveur externe. Les chercheurs affirment qu'OpenAI a corrigé le problème le 26 10, avec une classification P1 et une récompense totale de 5000 dollars.
Confiance : faible (40) · À confirmer · Date de l'incident 2026-10-28
Raisons
- La chaîne d'attaque est constituée de plusieurs fonctionnalités qui, prises individuellement, semblent légitimes : la bibliothèque de clavier mathématique MathLive, chargée par les graphiques, écoute les messages inter-fenêtres sur la page principale sans vérifier l'expéditeur et permet d'injecter du HTML brut dans la page ; l'aperçu HTML dans le bac à sable (sandbox) exploite cela pour faire insérer par la page principale une iframe sans sandbox, puis exécute des scripts arbitraires via le callback JSONP de l'interface oEmbed de YouTube, autorisée par la liste blanche de la politique de sécurité de contenu (CSP).
- L'ajout de contenus exécutables tels que des aperçus de code ou des applications dans les produits de chat crée une nouvelle surface d'attaque concernant « avec qui le code dans le bac à sable peut-il communiquer ». Les chercheurs affirment que le code injecté peut appeler toutes les interfaces connectées du client web ChatGPT au nom de la victime, sans se limiter à la lecture des conversations.
- La discussion sur Hacker News se concentre sur la faiblesse de la récompense : beaucoup estiment qu'une classification P1 avec seulement 5000 dollars de récompense dissuadera les chercheurs de signaler les failles à OpenAI.
Utilisation
- Les utilisateurs ordinaires n'ont aucune action à effectuer, les chercheurs affirmant que la vulnérabilité est corrigée. Les développeurs de produits d'IA web peuvent consulter les recommandations de défense dans l'article : les destinataires de postMessage doivent vérifier à la fois l'origine et la fenêtre, ne pas transmettre de HTML brut dans les paramètres inter-fenêtres, maintenir le sandbox pour les documents créés dynamiquement, et ne considérer la CSP que comme une dernière ligne de défense. L'article original est disponible sur parameter.ai/labs.
Risques
- Il n'y a actuellement que l'article des chercheurs eux-mêmes ; OpenAI n'a fait aucune déclaration publique. La date de correction, la classification P1 et le montant de la récompense proviennent de la chronologie fournie par les chercheurs.
- L'article n'indique pas si la vulnérabilité a été exploitée par d'autres avant la correction, et OpenAI ne l'a pas non plus divulgué.