Une conversation publique sur ChatGPT pouvait être transformée en lien susceptible d’exposer le compte privé de la personne qui l’ouvrait, selon des chercheurs en sécurité de Parameter Labs. Ils ont découvert qu’un partage malveillant pouvait exécuter du JavaScript dans la session ChatGPT de l’utilisateur connecté, accéder à ses conversations privées et effectuer des actions depuis son compte.
L’attaque reposait sur deux fonctionnalités qui n’étaient pas censées fonctionner ensemble : un graphique interactif et l’aperçu HTML de ChatGPT, qui affiche le code comme une petite page web. Selon Parameter Labs, l’association des deux permettait de franchir la barrière du navigateur censée isoler le code non fiable de l’aperçu de la page principale de ChatGPT.
Comment fonctionnait l’attaque ?
Les chercheurs ont attribué la faille à MathLive, une bibliothèque utilisée par ChatGPT pour afficher des graphiques. MathLive ajoutait à la page principale un écouteur de messages destiné à contrôler un clavier à l’écran. Un aperçu pouvait lui envoyer des messages, sans que l’écouteur vérifie leur provenance. Celui-ci insérait alors le code HTML fourni dans la page principale.
Cela ne suffisait pas, à lui seul, à exécuter des balises de script. Mais Parameter Labs a trouvé un moyen de faire créer à la page un nouveau cadre sans bac à sable. Comme celui-ci était créé par la page principale de ChatGPT, il pouvait s’exécuter avec l’identité du site et utiliser la session de la victime, déjà connectée. Les chercheurs affirment s’en être servis pour répertorier les conversations, récupérer une conversation privée qui n’avait jamais été partagée avec eux et en envoyer le contenu à un serveur externe.
Selon Parameter Labs, l’attaque pouvait être transmise dans un partage public ordinaire, sans demander à la victime d’installer une application ni de rejoindre un espace de travail. Lors d’une reproduction, il suffisait d’ouvrir le lien ; dans une version antérieure, la victime devait cliquer une fois sur le bouton Aperçu de ChatGPT.
Qu’a fait OpenAI ?
OpenAI a corrigé le problème le 26 octobre 2026 et classé le signalement P1, selon Parameter Labs. Simon Willison, qui a consacré un article à ces travaux, indique qu’OpenAI a versé une prime de 5 000 $ pour la découverte de la faille. Les comptes rendus publiés décrivent la correction, mais ne précisent pas si les chercheurs ou OpenAI ont trouvé des preuves d’une exploitation de la faille contre de véritables utilisateurs.
Cet incident montre qu’un aperçu peut présenter des risques même lorsqu’il s’exécute dans un cadre restreint : sa sécurité dépend aussi de la manière dont la page qui l’entoure traite les messages et les contenus intégrés. L’attaque de Parameter Labs combinait ces éléments dans un lien partageable, sans obliger la victime à exécuter elle-même du code.
Pourquoi c'est important
Pour les utilisateurs de ChatGPT, cette faille signifiait qu’ouvrir une conversation partagée malveillante pouvait exposer des échanges privés, sans rien installer. OpenAI indique avoir corrigé le problème le 26 octobre ; les comptes rendus ne permettent pas d’établir si des attaquants l’ont exploitée auparavant.
