ChatGPhish: škodlivá webová stránka může podvrhnout obsah přímo v ChatGPT

Společnost Permiso Security 29. května 2026 zveřejnila popis zranitelnosti pojmenované ChatGPhish. Zranitelnost zneužívá funkci webového shrnutí v ChatGPT a důvěru uživatelů v obsah zobrazovaný na doméně chatgpt.com. Útok nevyžaduje přístup k účtu oběti ani žádnou zranitelnost prohlížeče.

Co se vlastně děje

ChatGPT umí na požádání shrnout webovou stránku: načte její obsah a vypíše klíčové informace přímo do chatu. Tato funkce je praktická, má ale slabinu.

Útočník může na libovolnou webovou stránku skrytě vložit instrukce pro jazykový model (technicky jde o tzv. prompt injection, tedy podvržení příkazů). Prompt injection znamená, že škodlivý text na stránce “přesvědčí” AI, aby udělala něco jiného, než uživatel zamýšlel. ChatGPT pak při shrnutí té stránky do své odpovědi zahrne obsah, který útočník zvolil, například falešné bezpečnostní upozornění s odkazem na phishingový web (web určený ke krádeži přihlašovacích údajů nebo peněz).

Výsledný podvržený text se zobrazí přímo na doméně chatgpt.com. Pro uživatele je vizuálně k nerozeznání od legitimní odpovědi asistenta.

Čtyři konkrétní typy zneužití

Výzkumníci Permiso identifikovali čtyři způsoby, jak může útočník zranitelnost využít:

• Falešné bezpečnostní alerty napodobující oficiální komunikaci OpenAI.
• QR kódy vedoucí na útočníkovy stránky.
• Tracking pixely (neviditelné obrázky o velikosti jednoho bodu), které útočníkovi prozradí, zda byl konkrétní chat otevřen.
• Phishingové odkazy navržené tak, aby na první pohled vypadaly jako legitimní zdroje.

Stav řešení

OpenAI obdržel první hlášení od Permiso 29. dubna 2026, tedy měsíc před zveřejněním. Zpočátku incident označil jako nereplikovatelný. Zveřejnění detailů v květnu 2026 otevřelo veřejnou diskusi o bezpečnosti AI asistentů s funkcí procházení webu.

Co to znamená pro vaši firmu

Pro organizace v ČR a EU, kde zaměstnanci ve zvýšené míře využívají AI asistenty pro každodenní práci, představuje ChatGPhish novou kategorii rizika. Útok nevyžaduje žádné technické znalosti na straně útočníka a cílí na důvěru uživatelů v samotné rozhraní AI nástroje.

Doporučení:

• Informujte zaměstnance o tom, že obsah zobrazovaný v odpovědích AI asistentů může být ovlivněn škodlivými webovými stránkami.
• Nestahujte soubory ani neklikejte na odkazy v AI odpovědích bez nezávislého ověření jejich původu.
• Zvažte organizační politiku pro použití funkcí webového procházení v AI nástrojích v kontextu citlivých pracovních agend.
• Sledujte aktualizace OpenAI týkající se sanitizace výstupu a omezení prompt injection přes načítaný webový obsah.
• Zařaďte AI-specifické phishingové techniky do osnov bezpečnostních školení.

Zdroje:

• The Hacker News
• The Register
• Permiso Security