Eine öffentliche ChatGPT-Unterhaltung ließ sich laut Sicherheitsforschern von Parameter Labs in einen Link verwandeln, der das private Konto der Person offenlegen konnte, die ihn öffnete. Sie fanden heraus, wie ein manipulierter Freigabelink JavaScript in der angemeldeten ChatGPT-Sitzung eines Nutzers ausführen konnte. So ließen sich private Unterhaltungen abrufen und Aktionen über das Konto des Nutzers ausführen.
Der Angriff nutzte zwei Funktionen, die eigentlich nicht zusammenwirken sollten: ein interaktives Diagramm und die HTML-Vorschau von ChatGPT, die Code als kleine Webseite darstellt. Parameter Labs zufolge konnten sie damit die Browser-Isolierung umgehen, die nicht vertrauenswürdigen Vorschaucode von der eigentlichen ChatGPT-Seite trennen sollte.
Wie funktionierte der Angriff?
Die Forscher führten die Schwachstelle auf MathLive zurück, eine Bibliothek, die ChatGPT für Diagramme nutzte. MathLive fügte der Hauptseite einen Nachrichten-Listener hinzu, der eine Bildschirmtastatur steuerte. Eine Vorschau konnte Nachrichten an diesen Listener senden, der jedoch nicht prüfte, ob sie aus einer vertrauenswürdigen Quelle stammten. Anschließend fügte der Listener den übermittelten HTML-Code in die Hauptseite ein.
Dadurch wurden Skript-Tags nicht automatisch ausgeführt. Parameter Labs fand jedoch einen Weg, die Seite dazu zu bringen, einen neuen, nicht abgeschotteten Frame zu erstellen. Da dieser Frame von der eigentlichen ChatGPT-Seite erzeugt wurde, konnte er unter der Identität der Website laufen und die angemeldete Sitzung des Opfers verwenden. Die Forscher geben an, damit Unterhaltungen aufgelistet, eine private Unterhaltung abgerufen zu haben, die nie mit ihnen geteilt worden war, und deren Inhalte an einen externen Server übermittelt zu haben.
Laut Parameter Labs ließ sich der Angriff über eine gewöhnliche öffentliche Freigabe verbreiten, ohne dass das Opfer eine App installieren oder einem Workspace beitreten musste. Bei einem Nachbau genügte es, den Freigabelink zu öffnen; bei einer früheren Version musste das Opfer einmal auf die Vorschau-Schaltfläche von ChatGPT klicken.
Was hat OpenAI unternommen?
OpenAI behob das Problem am 26. Oktober 2026 und stufte den Bericht als P1 ein, wie Parameter Labs mitteilt. Simon Willison, der über die Forschung schrieb, zufolge zahlte OpenAI eine Bug-Bounty-Prämie von $5,000. Die veröffentlichten Berichte beschreiben die Behebung, sagen aber nicht, ob die Forscher oder OpenAI Hinweise darauf fanden, dass jemand die Schwachstelle gegen echte Nutzer eingesetzt hatte.
Der Vorfall zeigt, warum eine Vorschau selbst dann ein Risiko darstellen kann, wenn sie in einem eingeschränkten Frame ausgeführt wird: Ihre Sicherheit hängt auch davon ab, wie die umgebende Seite mit Nachrichten und eingebetteten Inhalten umgeht. Parameter Labs kombinierte diese Komponenten zu einem teilbaren Link, statt das Opfer dazu zu bringen, selbst Code auszuführen.
Warum es wichtig ist
Für ChatGPT-Nutzer bedeutete die Schwachstelle, dass das Öffnen einer manipulierten geteilten Unterhaltung private Chats offenlegen konnte, ohne dass etwas installiert werden musste. OpenAI behob das Problem am 26. Oktober; aus den Berichten geht nicht hervor, ob Angreifer die Schwachstelle zuvor ausgenutzt hatten.
