Istraživači su pokazali da je podijeljen razgovor iz ChatGPT-a mogao da preuzme nalog onoga ko ga otvori

Bezbjednosna firma Parameter Labs objavila je 28. oktobra 2026. izvještaj o tome kako je običan, javno podijeljen razgovor iz ChatGPT-a mogao da pokrene napadačev JavaScript u sesiji prijavljenog korisnika koji ga otvori. Prema istraživačima, taj kod je mogao da izlista razgovore žrtve, pročita privatan razgovor i pošalje podatke na spoljni server. Oni navode da je OpenAI propust ispravio 26. oktobra i svrstao ga u kategoriju P1.

Kako je napad bio sklopljen

ChatGPT omogućava da se HTML kod pretvori u malu, funkcionalnu stranicu pod nazivom Preview. Ona se izvršava u izolovanom okruženju (sandbox), odnosno u ograničenom okviru (iframe) koji se nalazi na drugoj adresi. Zbog toga kod te stranice ne može da pristupi sadržaju ChatGPT-a u kojem je prikazana. Prema istraživačima, taj mehanizam izolacije funkcionisao je ispravno.

Problem je, međutim, nastao u drugoj funkciji dostupnoj u istom razgovoru. Kada ChatGPT prikazuje interaktivni grafikon, učitava MathLive, biblioteku otvorenog koda za unos matematičkih izraza. MathLive je na glavnoj stranici postavljao prijemnik za postMessage, odnosno mehanizam koji omogućava razmjenu poruka između različitih okvira. Prijemnik je prihvatao poruke sa bilo kog porijekla (origin), odnosno bez provjere protokola, domena i porta pošiljaoca.

Jedna vrsta takvih poruka omogućavala je pošiljaocu da izmijeni raspored tastera na virtuelnoj tastaturi. Taj raspored mogao je da sadrži sirovi HTML, koji je MathLive zatim upisivao u glavnu stranicu ChatGPT-a pomoću funkcije innerHTML. Istraživači su to iskoristili da ubace iframe s atributom srcdoc i bez izolacije. Pregledač je tako ubačeni okvir tretirao kao dio domena chatgpt.com.

Politika bezbjednosti sadržaja (Content Security Policy, CSP) određuje sa kojih lokacija stranica smije da učitava skripte. U slučaju ChatGPT-a, ta pravila blokirala su direktno izvršavanje koda unesenog u stranicu, ali su dozvoljavala učitavanje sadržaja sa YouTube-a. Prema izvještaju istraživača, YouTubeov oEmbed servis vraćao je ime povratne funkcije u obliku izvršnog JavaScripta, čak i prije nego što bi odbio zahtjev.

Kombinacijom ovih propusta istraživači su uspjeli da zaobiđu postojeće zaštitne mehanizme i izvršavaju kod u kontekstu sajta chatgpt.com.

Šta je žrtva morala da uradi

Za napad su istraživači u jedan javni razgovor stavili pravi grafikon i HTML Preview, pa su taj razgovor podijelili. U najstabilnijoj varijanti žrtva je otvorila vezu i jednom kliknula na dugme Preview. U kasnijoj varijanti Preview se pokretao sam, pa je otvaranje veze bilo jedina potrebna radnja.

Istraživači navode da su izvještaj predali OpenAI-jevom programu nagrada za pronađene ranjivosti 18. oktobra 2026. Prema njihovom navodu, OpenAI je 21. oktobra 2026. podigao ozbiljnost s P2 na P1, a ukupna nagrada iznosila je 5.000 dolara.

Šta se promijenilo u biblioteci MathLive

MathLive je 31. oktobra 2026. objavio verziju 0.111.2, čije bilješke uz izdanje sadrže i bezbjednosni odjeljak. Prema novim pravilima, poruke namijenjene virtuelnoj tastaturi, posredniku (proxy) i polju za unos podrazumijevano se prihvataju samo ako potiču sa istog porijekla. Integracije koje zahtijevaju komunikaciju između različitih porijekla moraju izričito da navedu kojima vjeruju.

Dodatno, podešavanja poslata iz drugog prozora više ne mogu da definišu sopstveni raspored tastature niti da mijenjaju pojedinačne tastere, čak ni kada je provjera porijekla isključena. Prilagođeni HTML raspored sada se mora definisati u prozoru u kojem se tastatura prikazuje. Trenutno dostupna verzija paketa na npm-u je 0.111.4.

Bilješke uz izdanje ne pominju ChatGPT niti izvještaj istraživača. Ipak, uvedene izmjene direktno odgovaraju opisanim propustima, što ukazuje na to da je ažuriranje povezano s njihovim otkrićem.