Исследователи компании Parameter описали цепочку ошибок в ChatGPT: вредоносная ссылка на общий чат могла запустить чужой код в аккаунте человека, который её открыл. Отчёт вышел 28 октября 2026 года, уже после исправления. Пользователям ничего делать не нужно: OpenAI закрыла проблему на своей стороне 26 октября.

Что могла сделать такая ссылка

  • Сработать почти без действий. В самой надёжной версии атаки нужно было открыть ссылку и один раз нажать кнопку предпросмотра. В более поздней версии предпросмотр запускался сам, так что хватало перехода по ссылке.
  • Прочитать личное. Код получал список недавних чатов и мог открыть переписку, которой никто не делился. Исследователи показали это на собственных тестовых аккаунтах.
  • Действовать от вашего имени. Авторы пишут, что могли выполнить любое действие в аккаунте жертвы. На практике они продемонстрировали именно чтение переписки.

Как это работало

Ни одна из ошибок сама по себе не выглядела опасной. Опубликованный чат содержал интерактивный график, а для него ChatGPT подгружал на основную страницу MathLive, открытую библиотеку для ввода формул. Она принимала служебные сообщения от любой страницы, не проверяя отправителя, и вставляла полученную разметку в страницу.

Так появлялся встроенный фрейм, который браузер считал частью chatgpt.com. Последний шаг обеспечил YouTube: политика безопасности ChatGPT разрешала его скрипты, и через одну из его служебных функций удалось загрузить нужный код.

Как это исправили

  • 18 октября: Parameter сообщает об ошибке по программе поиска уязвимостей OpenAI.
  • 21 октября: OpenAI воспроизводит проблему и повышает её приоритет с P2 до P1.
  • 26 октября: исправление работает во всех версиях веб-интерфейса, исследователи получают $5000.
  • 31 октября: в MathLive 0.111.2 проверка отправителя включена по умолчанию.

О случаях использования уязвимости против реальных людей исследователи не сообщают.

Что это значит для пользователей

Именно эта дыра закрыта. Но ссылки на чаты с ИИ люди открывают не задумываясь, а в этих чатах бывают рабочие документы, личные вопросы и данные о здоровье. Поэтому к таким ссылкам стоит относиться как к любым другим: не открывать присланное незнакомцами и не хранить в чатах то, что нельзя терять.

Если ваш продукт использует MathLive, обновите библиотеку до версии 0.111.2 или новее.

Источники: AI Weekly со ссылкой на The Hacker News и отчёт Parameter, технический разбор на DEV Community.