Badacze Parameter Labs odkryli lukę w ChatGPT, która umożliwiała odczytywanie prywatnych rozmów i wykonywanie działań w imieniu zalogowanego użytkownika. Wystarczyło otworzyć odpowiednio przygotowany link do udostępnionej konwersacji. OpenAI usunęło podatność 26 października 2026 r.
Jeden link wystarczał, by uzyskać dostęp do rozmów
Atak wykorzystywał zwykłą funkcję udostępniania konwersacji ChatGPT. Napastnik mógł przygotować publiczną rozmowę zawierającą wykres i podgląd HTML, a następnie wysłać link innej osobie. Po jego otwarciu złośliwy kod uruchamiał się w kontekście zalogowanej sesji użytkownika. Nie trzeba było instalować aplikacji, wpisywać hasła ani uruchamiać narzędzi programistycznych. W końcowej wersji badacze trzykrotnie odtworzyli automatyczny wariant ataku na osobnym koncie. Kod uruchamiał się po około 4,5 sekundy.
Jak ominięto zabezpieczenia ChatGPT?
Mechanizm wykorzystywał połączenie kilku funkcji, które oddzielnie wyglądały na bezpieczne. Podgląd HTML był izolowany od głównej strony, ale wykres uruchamiał bibliotekę MathLive, obsługującą między innymi wirtualną klawiaturę matematyczną. Jej odbiornik komunikatów nie weryfikował właściwie pochodzenia wiadomości. Złośliwy podgląd mógł więc przekazać do głównej aplikacji kod HTML, który następnie tworzył nieizolowaną ramkę działającą z tożsamością domeny chatgpt.com. Dodatkowo wykorzystano mechanizm odpowiedzi JSONP w usłudze YouTube, której skrypty były dopuszczone przez politykę bezpieczeństwa treści ChatGPT. W ten sposób ominęto ograniczenia wykonywania kodu.
Badacze odczytali prywatną rozmowę, której nikt im nie udostępnił
Parameter Labs potwierdziło, że kod uruchomiony w kontekście sesji ofiary mógł wywoływać uwierzytelnione interfejsy API ChatGPT. W kontrolowanym teście pobrano listę konwersacji, odczytano fragment prywatnej rozmowy niezwiązanej z udostępnionym linkiem i wysłano wybrane dane na zewnętrzny serwer. Oznaczało to rzeczywisty dostęp do informacji przechowywanych w koncie, a nie tylko możliwość wyświetlenia fałszywego komunikatu. Autorzy raportu wskazują, że zakres możliwych działań obejmował także inne operacje dostępne dla zalogowanej sesji. Nie przedstawili jednak dowodów na masowe wykorzystanie tej luki przez cyberprzestępców.
OpenAI uznało podatność za zagrożenie P1
Badacze zgłosili problem 18 października. Dzień później przedstawili dowód odczytu prywatnej rozmowy, a 21 października OpenAI odtworzyło podatność i podniosło jej klasyfikację z P2 do P1. Poprawki wdrażano etapami w dwóch wersjach interfejsu internetowego. 26 października firma potwierdziła usunięcie luki. Parameter Labs otrzymało za odkrycie nagrodę w wysokości 5 tys. USD w ramach programu bug bounty.
Co oznacza to dla firm korzystających z AI?
Opisany przypadek jest istotny dla przedsiębiorstw, które powierzają chatbotom dokumenty, analizy finansowe, informacje o klientach i dane wewnętrzne. Nie chodziło o klasyczne prompt injection, czyli manipulowanie instrukcjami dla modelu językowego, lecz o techniczną podatność aplikacji internetowej. Izolacja podglądu HTML działała, ale inny komponent przyjmował od niego niezaufane komunikaty. To pokazuje, że bezpieczeństwo agentów AI i rozbudowanych platform zależy nie tylko od zabezpieczeń poszczególnych funkcji, lecz także od kontroli komunikacji między nimi. W firmach znaczenie mają ograniczanie uprawnień, zasady przekazywania danych do narzędzi AI i regularna weryfikacja integracji.
Czy użytkownicy nadal są zagrożeni?
Według raportu Parameter Labs OpenAI naprawiło opisaną podatność 26 października 2026 r. Samo odkrycie nie oznacza, że doszło do powszechnego wycieku danych ani że wszystkie konta ChatGPT zostały naruszone. Badacze udokumentowali skuteczność ataku w kontrolowanych warunkach. Przypadek pokazuje jednak, że nawet pozornie zwyczajny link prowadzący do zaufanej usługi może być niebezpieczny, jeśli w aplikacji istnieje błąd pozwalający przekroczyć granice uprawnień.
Źródło: Parameter Labs, „Do the Math: How We Took Over ChatGPT Accounts”, 28 października 2026 r.
