Pesquisadores dizem que um link público de compartilhamento do ChatGPT podia executar código na sessão da vítima; OpenAI corrigiu o problema em 26 de outubro

A empresa de segurança Parameter publicou um relato técnico em 28 de outubro dizendo que seus pesquisadores encontraram uma forma de executar JavaScript controlado por um invasor dentro da sessão autenticada do ChatGPT de qualquer pessoa que abrisse um compartilhamento público de conversa. OpenAI corrigiu o problema em 26 de outubro e classificou o relatório como P1, segundo o relato.

A descrição da cadeia feita pela Parameter:

• Uma conversa maliciosa combina um gráfico interativo normal, que carrega a biblioteca de matemática MathLive e instala um listener de mensagens na página principal do chatgpt.com, com uma prévia HTML que envia mensagens a ele. O listener não verificava quem enviava uma mensagem para alterar o layout do teclado virtual, e o layout podia conter HTML bruto.
• Esse HTML criava um frame sem sandbox com a identidade do chatgpt.com. A política de segurança de conteúdo do ChatGPT bloqueava scripts inline, mas permitia o YouTube, e um endpoint de oEmbed do YouTube que ecoava um parâmetro de callback fornecia o script.
• Os pesquisadores dizem que o código podia listar as conversas da vítima, ler uma conversa privada que nunca havia sido compartilhada e enviar parte dela para um servidor externo. Eles dizem que o mesmo acesso permitiria realizar qualquer ação que a conta da vítima pudesse executar. Bastava abrir o link de compartilhamento, com no máximo um clique em Preview.

Cronologia da Parameter: o relatório foi enviado em 18 de outubro, OpenAI elevou a gravidade de P2 para P1 em 21 de outubro, uma correção chegou aos dois frontends web em etapas e, em 26 de outubro, OpenAI confirmou que ambos rejeitavam as mensagens relatadas e concedeu uma recompensa de US$ 5.000. O relato é dos próprios pesquisadores; o texto não descreve nenhum uso da falha contra usuários reais.