研究者によると、公開ChatGPT共有リンクを開くと被害者のセッション内でコードが実行される可能性があった。OpenAIは10月26日に修正

セキュリティ企業のParameterは10月28日、研究者が、公開された会話の共有リンクを開いた人のログイン済みChatGPTセッション内で、攻撃者が制御するJavaScriptを実行する方法を見つけたとする調査報告を公開した。報告によると、OpenAIは10月26日に問題を修正し、報告をP1に分類した。

Parameterが説明する攻撃の流れ：

• 悪意のある会話では、MathLive数式ライブラリを読み込んでメインのchatgpt.comページにメッセージリスナーを設置する通常のインタラクティブなグラフと、そのリスナーにメッセージを送るHTML Previewを組み合わせていた。リスナーは、仮想キーボードのレイアウトを変更するメッセージの送信元を確認しておらず、レイアウトには生のHTMLを含めることができた。
• そのHTMLは、chatgpt.comのIDを持つサンドボックス化されていないフレームを作成した。ChatGPTのコンテンツセキュリティポリシーはインラインスクリプトをブロックしていた一方、YouTubeは許可しており、コールバックパラメーターをそのまま返すYouTubeのoEmbedエンドポイントからスクリプトを読み込めた。
• 研究者によると、このコードは被害者の会話一覧を取得し、共有されたことのない非公開の会話を読み取り、その一部を外部サーバーに送信できたという。同じアクセス権があれば、被害者のアカウントで可能なあらゆる操作ができたとも述べている。必要なのは共有リンクを開くことだけで、Previewでクリックが必要な場合も最大1回だった。

Parameterによると、同社は10月18日に報告を提出し、OpenAIは10月21日に深刻度をP2からP1に引き上げた。2つのWebフロントエンドには段階的に修正が適用され、10月26日にOpenAIは報告されたメッセージを両方で拒否することを確認し、5,000ドルの報奨金を授与した。この説明は研究者自身のアカウントに基づくもので、実際のユーザーに対して脆弱性が使われたとは報告されていない。