Un enlace a un chat ajeno permitía acceder a todas tus conversaciones en ChatGPT; OpenAI corrigió la vulnerabilidad

Un enlace normal a la conversación ajena de ChatGPT podía dar a un atacante acceso a las conversaciones privadas de la persona que lo abría. Los investigadores de Parameter probaron el ataque en cuentas individuales, lograron robar un fragmento de un chat cerrado y consiguieron que se corrigiera la vulnerabilidad.

Para el ataque no era necesario falsificar el sitio de OpenAI ni obtener la contraseña. El atacante creaba una conversación en ChatGPT, añadía elementos especialmente preparados y la publicaba mediante la función estándar de compartir. El destinatario veía un enlace legítimo a chatgpt.com, pero junto con la conversación abierta se cargaba código capaz de salir del área de vista aislada.

La cadena comenzaba con un gráfico interactivo y la vista previa HTML, la función de previsualización de páginas web. El gráfico cargaba la biblioteca MathLive, que maneja el teclado matemático en pantalla. La vista previa aislada le enviaba mensajes mediante el mecanismo postMessage. La biblioteca aceptaba comandos sin verificar de forma fiable el remitente y permitía sustituir el marcado HTML del teclado.

Mediante el marcado sustituido, los investigadores creaban un marco embebido sin el atributo de restricción sandbox. El navegador interpretaba su contenido como parte de chatgpt.com. La última barrera, la política de seguridad de contenidos (CSP), fue sorteada mediante el servicio permitido YouTube, que devolvía JavaScript en la respuesta a una petición especialmente formulada. Así surgía un ataque XSS.

El código ejecutado funcionaba en el contexto del usuario autorizado y accedía a las API internas de ChatGPT. Durante la comprobación, los especialistas obtuvieron la lista de los últimos diálogos, solicitaron mensajes de una conversación cerrada que la víctima nunca había compartido y enviaron un pequeño fragmento a su servidor. El acceso no se limitaba al texto mostrado en la página abierta.

En el escenario más estable, la persona solo tenía que abrir el enlace y pulsar una vez Vista previa. Más adelante los investigadores lograron el inicio automático, cuando bastaba con una sola visita a la dirección. Esa variante se pudo reproducir tres veces en una cuenta separada. Se demostró el acceso a los mensajes de terceros, no la captura masiva de cuentas ni el robo de todos los archivos de los usuarios.

El equipo de Parameter describió el ataque después de corregir el error. La vulnerabilidad se envió al programa de recompensas de OpenAI el 18 de octubre de 2026. La compañía reprodujo el problema y el 21 de octubre elevó la valoración de gravedad de P2 a P1. Para el 26 de octubre ambas versiones de la interfaz web dejaron de aceptar los mensajes empleados en el ataque, y a los investigadores se les pagaron 5.000 dólares.

No hay indicios de víctimas reales ni de uso del ataque fuera del experimento de Parameter. Los usuarios no necesitan aplicar la corrección por su cuenta, ya que los cambios se hicieron en el lado del servicio. Anteriormente, los enlaces compartidos de ChatGPT ya se habían usado en otro esquema, disfrazando cebos de descarga de malware como páginas del servicio real.