Sprawni Cyfrowo
Badacze z firmy Parameter opisali lukę, która umożliwiała przejęcie konta ChatGPT po samym otwarciu linku do udostępnionej rozmowy. Ofiara nie musiała niczego instalować, wklejać kodu ani dołączać do projektu. OpenAI usunęło błąd 26 października i podniosło jego ocenę z P2 do P1. Szczegóły ataku rozeszły się szeroko pod koniec października, gdy omówił je m.in. Simon Willison.
Jak działał atak
Łańcuch zaczynał się od dwóch niewinnych funkcji: interaktywnego wykresu i podglądu HTML (Preview). Podgląd uruchamia kod w izolowanej ramce pod innym adresem, więc w teorii nie ma dostępu do strony ChatGPT. Wykres korzystał jednak z biblioteki MathLive, która na głównej stronie nasłuchiwała komunikatów o swojej klawiaturze ekranowej. Nie sprawdzała, kto je wysyła, a odebraną treść wstawiała do strony jako HTML.
Dzięki temu kod z podglądu mógł dodać do strony nową ramkę, już bez ograniczeń piaskownicy. Ostatnią barierą była polityka bezpieczeństwa treści (CSP), która dopuszczała skrypty tylko z kilku zaufanych domen. Jedną z nich był YouTube, a jego usługę oEmbed dało się zmusić do zwrócenia kodu JavaScript. Efekt: skrypt atakującego działał jako chatgpt.com w zalogowanej sesji ofiary. Badacze potwierdzili, że mógł odczytać listę rozmów, pobrać treść prywatnego czatu i wysłać ją na zewnętrzny serwer.
Reakcja OpenAI i twórców MathLive
Parameter zgłosił błąd 18 października w programie bug bounty. OpenAI odtworzyło problem 21 października, a 26 października potwierdziło poprawkę w obu wersjach interfejsu webowego. Badacze otrzymali za zgłoszenie 5000 dolarów. Simon Willison uznał tę kwotę za dość niską jak na tak poważną podatność. Zmiana objęła też samą bibliotekę: 31 października wydano MathLive 0.111.2, które domyślnie sprawdza pochodzenie komunikatów. Jak zaznacza omówienie w serwisie DEV Community, atak testowano między osobnymi kontami badaczy, a nie na prawdziwych użytkownikach.
Co przejęcie konta ChatGPT oznacza dla firm
W wielu polskich firmach do ChatGPT trafiają szkice umów, dane klientów i fragmenty kodu. Ta luka pokazuje, że ryzyko nie dotyczy tylko tego, co wpisują pracownicy. Wystarczył jeden link wysłany mailem lub w komunikatorze, by obca osoba zobaczyła historię rozmów. Błąd jest już usunięty, ale wniosek zostaje: link do udostępnionej rozmowy z AI warto traktować jak każdy inny link od nieznanego nadawcy.
Warto też przejrzeć, jakie informacje leżą w historii czatów, i ustalić w zespole, czego nie wklejamy do narzędzi AI. Badacze potwierdzili, że atak działał również między różnymi przestrzeniami roboczymi, więc samo konto firmowe nie dawało ochrony. Dla zespołów IT jest jeszcze jedna lekcja. Każdy kod, który nasłuchuje komunikatów postMessage, powinien sprawdzać ich nadawcę. Jeśli korzystacie z MathLive we własnych aplikacjach, aktualizacja do wersji 0.111.2 to dobry pierwszy krok.
Źródło: Parameter Labs, „Do the Math: How We Took Over ChatGPT Accounts” (EN), 28 października 2026. Omówienia: Simon Willison (EN) oraz DEV Community (EN), 31 października 2026.
