Nhà nghiên cứu Mukul Goyal của công ty bảo mật Parameter 10 tháng 28 đã đăng bài: Kẻ tấn công có thể đăng một đoạn hội thoại ChatGPT được chia sẻ công khai, trong đó chứa một biểu đồ tương tác bình thường và một phần xem trước HTML; sau khi nạn nhân mở liên kết chia sẻ (để tái hiện ổn định nhất cần nhấp vào nút xem trước một lần, nếu đặt chế độ xem trước tự động thì chỉ cần mở liên kết), mã độc sẽ chạy trong phiên đăng nhập của nạn nhân với tư cách là chatgpt.com, có thể liệt kê danh sách hội thoại, đọc các hội thoại riêng tư chưa từng được chia sẻ và gửi chúng đến máy chủ bên ngoài. Nhà nghiên cứu cho biết OpenAI đã khắc phục vào 10 tháng 26, xếp hạng P1, với tổng tiền thưởng là 5000 USD.
Độ tin cậy: Thấp (40) · Chưa xác minh · Thời điểm sự kiện 2026-10-28
Lý do
- Chuỗi tấn công được ghép từ một số tính năng mà khi xem riêng lẻ đều hợp lý: Thư viện bàn phím toán học MathLive được tải bởi biểu đồ lắng nghe các tin nhắn giữa các cửa sổ trên trang chính nhưng không xác minh người gửi, đồng thời cho phép truyền HTML thô vào trang; phần xem trước HTML trong môi trường sandbox lợi dụng điều này để chèn một iframe không có sandbox vào trang chính, sau đó sử dụng hàm gọi lại JSONP của giao diện YouTube oEmbed trong danh sách trắng Chính sách An toàn Nội dung (CSP) để thực thi các script tùy ý.
- Khi các sản phẩm chat tích hợp nội dung có thể thực thi như xem trước mã và ứng dụng, "mã trong sandbox còn có thể giao tiếp với ai" trở thành một bề mặt tấn công mới. Nhà nghiên cứu cho biết mã được chèn có thể gọi tất cả các giao diện đăng nhập của phiên bản web ChatGPT với tư cách là nạn nhân, không giới hạn ở việc đọc hội thoại.
- Cuộc thảo luận trên Hacker News tập trung vào mức tiền thưởng thấp: Nhiều người cho rằng chỉ trả 5000 USD cho lỗ hổng cấp P1 sẽ khiến các nhà nghiên cứu không muốn báo cáo cho OpenAI.
Cách sử dụng
- Người dùng thông thường không cần thao tác gì, nhà nghiên cứu cho biết lỗ hổng đã được khắc phục. Các nhà phát triển sản phẩm AI trên web có thể tham khảo các khuyến nghị phòng thủ trong bài viết: Bên nhận postMessage cần đồng thời xác minh địa chỉ nguồn và cửa sổ, không truyền HTML thô trong cài đặt giữa các cửa sổ, giữ nguyên sandbox cho các tài liệu được tạo động, và chỉ coi CSP là tuyến phòng thủ cuối cùng. Bài viết gốc nằm tại parameter.ai/labs.
Rủi ro
- Hiện tại chỉ có bài viết của chính nhà nghiên cứu, OpenAI chưa đưa ra tuyên bố công khai; ngày khắc phục, xếp hạng P1 và số tiền thưởng đều dựa trên dòng thời gian do nhà nghiên cứu cung cấp.
- Bài viết không nêu rõ liệu lỗ hổng đã bị người khác khai thác trước khi được khắc phục hay không, và OpenAI cũng không tiết lộ thông tin này.