Una conversazione pubblica di ChatGPT poteva essere trasformata in un link in grado di esporre l’account privato di chi lo apriva, secondo i ricercatori di sicurezza di Parameter Labs. Hanno trovato un modo per far sì che una condivisione malevola eseguisse JavaScript nella sessione ChatGPT dell’utente autenticato, consentendo di accedere alle conversazioni private e compiere azioni tramite il suo account.
L’attacco sfruttava due funzionalità che non avrebbero dovuto interagire: un grafico interattivo e l’HTML Preview di ChatGPT, che mostra il codice come una piccola pagina web. Parameter Labs afferma di averle combinate per superare la barriera del browser, pensata per tenere separato il codice non attendibile dell’anteprima dalla pagina principale di ChatGPT.
Come funzionava l’attacco?
I ricercatori hanno ricondotto la vulnerabilità a MathLive, una libreria usata da ChatGPT per supportare i grafici. MathLive aggiungeva alla pagina principale un listener di messaggi per controllare una tastiera visualizzata sullo schermo. Un’anteprima poteva inviare messaggi a quel listener, che non verificava se provenissero da una fonte attendibile. Il listener inseriva quindi nella pagina principale il codice HTML ricevuto.
Questo, da solo, non bastava a eseguire i tag script. Ma Parameter Labs ha trovato un modo per indurre la pagina a creare un nuovo frame senza sandbox. Poiché era la pagina principale di ChatGPT a crearlo, il frame poteva agire con l’identità del sito e usare la sessione autenticata della vittima. I ricercatori affermano di aver sfruttato questo accesso per elencare le conversazioni, recuperare una conversazione privata che non era mai stata condivisa con loro e inviarne il contenuto a un server esterno.
Secondo Parameter Labs, l’attacco poteva essere veicolato tramite una normale condivisione pubblica, senza chiedere alla vittima di installare un’app o entrare in uno spazio di lavoro. In una riproduzione del problema è bastato aprire la condivisione; in una versione precedente, la vittima doveva fare clic una volta sul pulsante Anteprima di ChatGPT.
Cosa ha fatto OpenAI?
Secondo Parameter Labs, OpenAI ha corretto il problema il 26 ottobre 2026 e ha classificato la segnalazione come P1. Simon Willison, che ha scritto della ricerca, afferma che OpenAI ha pagato una ricompensa di $5,000 per la vulnerabilità. Le ricostruzioni pubblicate descrivono la correzione, ma non dicono se i ricercatori o OpenAI abbiano trovato prove di un uso della vulnerabilità contro utenti reali.
L’incidente mostra perché un’anteprima può essere rischiosa anche quando viene eseguita in un frame limitato: la sua sicurezza dipende anche da come la pagina circostante gestisce i messaggi e i contenuti incorporati. L’attacco di Parameter Labs combinava questi elementi in un link condivisibile, senza richiedere alla vittima di eseguire codice in prima persona.
Perché conta
Per chi usa ChatGPT, la vulnerabilità significava che aprire una conversazione condivisa malevola poteva esporre chat private senza dover installare nulla. OpenAI afferma di aver corretto il problema il 26 ottobre; le ricostruzioni non dimostrano se la vulnerabilità sia stata sfruttata da eventuali aggressori prima di allora.
