Una conversación pública de ChatGPT podía convertirse en un enlace capaz de exponer la cuenta privada de quien lo abriera, según investigadores de seguridad de Parameter Labs. Descubrieron cómo una publicación compartida maliciosa podía ejecutar JavaScript dentro de la sesión de ChatGPT del usuario, con acceso a conversaciones privadas y capacidad para realizar acciones desde su cuenta.
El ataque aprovechaba dos funciones que no estaban diseñadas para interactuar entre sí: un gráfico interactivo y la Vista previa HTML de ChatGPT, que muestra código como una pequeña página web. Parameter Labs afirma que usó ambas para atravesar la barrera del navegador que debía mantener el código no confiable de la vista previa separado de la página principal de ChatGPT.
¿Cómo funcionaba el ataque?
Los investigadores rastrearon el fallo hasta MathLive, una biblioteca que ChatGPT usaba para mostrar gráficos. MathLive añadía un listener de mensajes a la página principal para controlar un teclado en pantalla. La vista previa podía enviar mensajes a ese listener, que no comprobaba si provenían de un lugar confiable. Luego, el listener insertaba el HTML recibido en la página principal.
Eso no hacía que las etiquetas de script se ejecutaran por sí solas. Pero Parameter Labs encontró la manera de hacer que la página creara un nuevo marco sin restricciones. Como lo creaba la página principal de ChatGPT, ese marco podía ejecutarse con la identidad del sitio y usar la sesión iniciada de la víctima. Los investigadores afirman que aprovecharon ese acceso para listar conversaciones, recuperar una conversación privada que nunca habían compartido con ellos y enviar su contenido a un servidor externo.
Según Parameter Labs, el ataque podía llevarse a cabo mediante un enlace público normal, sin pedirle a la víctima que instalara una aplicación ni que se uniera a un espacio de trabajo. En una reproducción, bastaba con abrir el enlace; en una versión anterior, la víctima tenía que hacer clic una vez en el botón Vista previa de ChatGPT.
¿Qué hizo OpenAI?
OpenAI corrigió el problema el 26 de octubre de 2026 y clasificó el informe como P1, según Parameter Labs. Simon Willison, quien escribió sobre la investigación, afirma que OpenAI pagó una recompensa de $5,000 por el error. Los artículos publicados describen la corrección, pero no dicen si los investigadores o OpenAI encontraron pruebas de que alguien hubiera aprovechado el fallo contra usuarios reales.
El incidente muestra por qué una vista previa puede ser riesgosa incluso cuando se ejecuta en un marco restringido: su seguridad también depende de cómo la página que la contiene gestiona los mensajes y el contenido incrustado. El ataque de Parameter Labs combinó esos elementos en un enlace para compartir, sin exigir que la víctima ejecutara código por su cuenta.
Por qué importa
Para quienes usan ChatGPT, el fallo implicaba que abrir una conversación compartida maliciosa podía exponer chats privados sin necesidad de instalar nada. OpenAI afirma que corrigió el problema el 26 de octubre; los relatos publicados no demuestran que atacantes lo aprovecharan antes de esa fecha.
