Исследователь из компании по кибербезопасности Parameter Мукул Гоял 10 28 числа опубликовал пост: злоумышленник может опубликовать публично доступную переписку в ChatGPT, содержащую обычную интерактивную диаграмму и фрагмент HTML-предпросмотра; когда жертва открывает ссылку для совместного доступа (для наиболее стабильного воспроизведения требуется один клик по кнопке предпросмотра, а при настройке автоматического предпросмотра достаточно просто открыть ссылку), вредоносный код выполняется в сессии авторизованного пользователя жертвы от имени chatgpt.com, получая возможность выводить список диалогов, читать личные переписки, которые никогда не публиковались, и отправлять их на внешний сервер. Исследователь сообщил, что OpenAI исправила уязвимость 10 26 числа, присвоив ей уровень критичности P1, а общая сумма вознаграждения составила 5000 долларов.
Уверенность: низкая (40) · требует подтверждения · дата инцидента 2026-10-28
Обоснование
- Цепочка атаки состоит из нескольких функций, каждая из которых по отдельности выглядит обоснованной: библиотека математической клавиатуры MathLive, загружаемая диаграммой, прослушивает межоконные сообщения на главной странице без проверки отправителя и также позволяет передавать необработанный HTML для вставки в страницу; HTML-предпросмотр в песочнице использует это, чтобы заставить главную страницу вставить iframe без песочницы, а затем выполняет произвольные скрипты через колбэк JSONP интерфейса oEmbed YouTube, который находится в белом списке политики безопасности контента (CSP).
- После добавления в чат-продукты исполняемого контента, такого как предпросмотр кода и приложения, вопрос «с кем может взаимодействовать код в песочнице» становится новой поверхностью атаки. Исследователь утверждает, что внедренный код может вызывать все авторизованные интерфейсы веб-версии ChatGPT от имени жертвы, а не только читать переписки.
- Обсуждение на Hacker News сосредоточено на низком размере вознаграждения: многие считают, что выплата всего 5000 долларов за уязвимость уровня P1 отпугнет исследователей от сообщений об уязвимостях в OpenAI.
Рекомендации по использованию
- Обычным пользователям никаких действий предпринимать не нужно, так как, по словам исследователя, уязвимость уже исправлена. Разработчикам веб-продуктов на базе ИИ стоит ознакомиться с рекомендациями по защите в статье: получатель postMessage должен одновременно проверять адрес источника и окно, не передавать необработанный HTML в настройках межоконного взаимодействия, сохранять песочницу для динамически создаваемых документов и рассматривать CSP только как последний рубеж обороны. Оригинал доступен на parameter.ai/labs.
Риски
- На данный момент существует только статья самого исследователя, OpenAI не делала публичных заявлений; дата исправления, уровень критичности P1 и сумма вознаграждения основаны на временной шкале, предоставленной исследователем.
- В статье не указано, была ли уязвимость использована другими лицами до исправления, и OpenAI также не раскрывала эту информацию.