Chyba v ChatGPT umožnila převzít účet přes sdílený odkaz

V kostce

• 31. října 2026 popsán útok na HTML náhledy v ChatGPT
• Sdílený odkaz mohl krást data přihlášeného uživatele
• OpenAI chybu opravila a vyplatila 5 000 USD

Společnost Parameter Labs odhalila závažný řetězec zranitelností v aplikaci ChatGPT, který umožňoval získat soukromá data přihlášeného uživatele a provádět akce jeho jménem. Podle blogu Simona Willisona byl popis útoku zveřejněn 31. října 2026. Společnost OpenAI chybu po nahlášení opravila a za její odhalení vyplatila odměnu 5 000 USD.

Problém se týkal implementace takzvaných artefaktů, tedy interaktivních vlastních aplikací v jazyce HTML. Společnost OpenAI tuto funkci dříve označovala názvem Canvas, v aktuální verzi jde o HTML náhledy. Tyto náhledy se zobrazují v sandboxovaném prvku iframe, který má zabránit tomu, aby nedůvěryhodný kód komunikoval s rozhraními API a přistupoval k soukromým datům.

Útočný řetězec podle zdroje začal u knihovny MathLive, kterou ChatGPT využívá pro podporu grafů. Součástí knihovny je vlastní virtuální klávesnice, již lze v rodičovské stránce vyvolat zprávou postMessage odeslanou ze sandboxovaného prvku iframe. Kód pro příjem této zprávy používá vlastnost innerHTML, takže odesílatel zprávy mohl do rodičovské stránky vložit vlastní HTML. Neexistoval přitom mechanismus, který by jiným sandboxovaným rámcům zabránil ve volání této metody včetně rámců s HTML náhledy.

Vložení kódu přes innerHTML přímo nespouští prvky script, umožnilo však vložit nový prvek iframe bez omezení sandboxu. Pravidla CSP společnosti OpenAI zcela blokovala vložené skripty a načítání skriptů povolovala pouze z několika málo domén. Jednou z povolených domén byl YouTube a jeho koncový bod oEmbed bylo možné zneužít k tomu, aby vrátil a spustil kód JavaScript.

Jakmile útočník dosáhl spuštění kódu JavaScript v kontextu služby ChatGPT, mohl snadno získat soukromá uživatelská data z rozhraní API a odeslat je ven pomocí odkazu na obrázek. Výsledkem bylo, že útočník mohl vytvořit sdílený odkaz na ChatGPT, jehož návštěva jiným přihlášeným uživatelem vedla k úniku jeho soukromých dat nebo k provedení akcí jeho jménem. Uvedl to Simon Willison na svém blogu s odkazem na popis společnosti Parameter Labs.

Společnost OpenAI bezpečnostní díru uzavřela a výzkumníkům vyplatila odměnu 5 000 USD. Autor blogu v této souvislosti poznamenal, že takovou částku považuje za nízkou vzhledem k závažnosti zranitelnosti. Samotný popis nezmiňuje, zda byla chyba před opravou aktivně zneužita v praxi.

Zdroje

1. Simon Willisonsimonwillison.net