Des chercheurs affirment qu’un lien de partage public de ChatGPT pouvait exécuter du code dans la session d’une victime ; OpenAI a corrigé le problème le 26 octobre

La société de sécurité Parameter a publié un compte rendu le 28 octobre, indiquant que ses chercheurs avaient trouvé un moyen d’exécuter du JavaScript contrôlé par un attaquant dans la session ChatGPT d’une personne connectée qui ouvrait le lien de partage d’une conversation publique. OpenAI a corrigé le problème le 26 octobre et a classé le signalement comme P1, selon le compte rendu.

Voici la chaîne d’attaque décrite par Parameter :

• Une conversation malveillante associe un graphique interactif normal, qui charge la bibliothèque mathématique MathLive et installe un écouteur de messages dans la page principale chatgpt.com, à un aperçu HTML qui lui envoie des messages. L’écouteur ne vérifiait pas l’origine d’un message modifiant la disposition du clavier virtuel, et cette disposition pouvait contenir du HTML brut.
• Ce HTML créait un cadre non isolé doté de l’identité chatgpt.com. La politique de sécurité du contenu de ChatGPT bloquait les scripts intégrés, mais autorisait YouTube ; un point de terminaison oEmbed de YouTube, qui renvoyait un paramètre callback fourni, injectait le script.
• Selon les chercheurs, le code pouvait répertorier les conversations de la victime, lire une conversation privée qui n’avait jamais été partagée et en envoyer une partie à un serveur externe. Ils affirment que ce même accès aurait permis d’effectuer toute action autorisée par le compte de la victime. Il suffisait d’ouvrir le lien de partage et, au maximum, de cliquer une fois sur Preview.

Chronologie de Parameter : le signalement a été soumis le 18 octobre, OpenAI a relevé la gravité de P2 à P1 le 21 octobre, un correctif a été déployé progressivement sur les deux interfaces web et, le 26 octobre, OpenAI a confirmé que les deux rejetaient les messages signalés et a versé une prime de 5 000 $. Ce récit est celui des chercheurs eux-mêmes ; le compte rendu ne fait état d’aucune exploitation de la faille contre de vrais utilisateurs.