Ricerca: trovato un modo per impossessarsi degli account ChatGPT di OpenAI con un solo link

Cosa si poteva fare con essa

• Un attaccante avrebbe potuto creare una conversazione ChatGPT malevola, pubblicarla usando la normale funzione di condivisione e inviare il link a un utente già connesso per esfiltrare i dati delle sue conversazioni private verso un server esterno ².
• Un ricercatore di sicurezza avrebbe potuto usare la falla scoperta per dimostrare che aprire qualsiasi link condiviso di ChatGPT mentre si è connessi concede accesso completo alla sessione dell'account autenticato della vittima ².
• Un attaccante avrebbe potuto leggere il contenuto di conversazioni private mai condivise con lui e compiere azioni sull'account ChatGPT della vittima senza che questa installasse nulla o aprisse strumenti per sviluppatori ².

Dall'annuncio: una tabella di rete dei developer tools di un browser che mostra dettagli delle richieste HTTP da ChatGPT, incluse query string con 'chatgpt-privileged-client-v3' e percorsi di endpoint API

Immagine: parameter.ai

Come funzionava il trucco

Il problema nasceva da due funzioni che sembravano innocue da sole: lo strumento grafico e la finestra di anteprima HTML.

Quando ChatGPT crea un'anteprima HTML, esegue il codice all'interno di un frame ristretto su un indirizzo web diverso. Il browser tratta quel frame come un sito separato, quindi il codice al suo interno non dovrebbe essere in grado di leggere o modificare la pagina principale di ChatGPT circostante. Questa parte funzionava come previsto — almeno finché i ricercatori non hanno rintracciato una connessione inaspettata.

OpenAI usa la libreria JavaScript MathLive per supportare i grafici matematici. MathLive include la propria tastiera virtuale, e quella tastiera può essere attivata dall'interno del frame sandboxato usando una funzione del browser chiamata postMessage(). Il codice sulla pagina principale che riceve quei messaggi usa poi innerHTML, un metodo che inserisce HTML grezzo in una pagina. Poiché non c'era alcun controllo che impedisse ad altri frame sandboxati di chiamare lo stesso metodo, qualsiasi iframe — inclusa una finestra di anteprima — poteva iniettare HTML personalizzato nella pagina principale di ChatGPT ².

Da lì il percorso era chiaro. L'HTML iniettato creava un nuovo iframe senza restrizioni di sandbox. Le regole della policy di sicurezza dei contenuti (CSP) di OpenAI bloccavano gli script inline e permettevano il codice solo da alcuni domini attendibili. Uno di quei domini consentiti era YouTube. L'endpoint oEmbed di YouTube poteva essere fatto restituire JavaScript, che poi veniva eseguito all'interno della sessione connessa della vittima ¹.

Una volta che il codice dell'attaccante era in esecuzione come utente acceso, poteva chiamare le API private di ChatGPT direttamente. Poteva elencare tutte le conversazioni della vittima, leggere il contenuto di chat private che non erano mai state condivise, e inviare tutti quei dati a un server esterno — ad esempio nascondendoli all'interno di un URL di immagine ².

Cosa era possibile

I ricercatori hanno confermato di poter creare una conversazione malevola, pubblicarla usando la normale funzione di condivisione di ChatGPT e inviare il link a un'altra persona. Quando la vittima apriva il link, il payload veniva eseguito automaticamente con accesso completo alla sessione autenticata della persona su chatgpt.com. Nessuna installazione di app, nessun progetto a cui unirsi, nessun strumento per sviluppatori, nessuna incollatura di codice — bastava aprire il link ².

La correzione e la ricompensa

OpenAI ha corretto la vulnerabilità il 26 ottobre 2026 e ha classificato la segnalazione come P1 — il livello massimo di gravità. L'azienda ha pagato a Parameter Labs un bug bounty di 5.000 dollari. Il blogger Simon Willison ha dichiarato che riteneva il compenso troppo basso per una falla così seria ¹.

Questa storia segnala un trend a solo scopo informativo. Non costituisce consiglio né incoraggiamento a fare nessuna di queste cose.

I fatti principali

• Parameter Labs ha trovato una vulnerabilità P1 in ChatGPT che permetteva a un attaccante di eseguire JavaScript nella sessione connessa di una vittima condividendo un link.
• L'exploit ha superato un confine di sandbox usando postMessage() e innerHTML di MathLive per iniettare un nuovo iframe senza restrizioni.
• L'endpoint oEmbed di YouTube è stato usato come scappatoia per caricare ed eseguire JavaScript nell'ambito della policy di sicurezza dei contenuti di OpenAI.
• OpenAI ha risolto il problema il 26 ottobre 2026 e ha pagato un bug bounty di 5.000 dollari.
• Non era richiesta alcuna azione da parte della vittima oltre ad aprire il link condiviso.

Parole da sapere:

parametri: valori numerici utilizzati da un modello di AI che vengono adattati durante l'addestramento e che determinano il comportamento del modello.

sandbox: ambiente isolato in cui viene eseguito codice potenzialmente dannoso, in modo che non possa influenzare il sistema circostante.

postMessage(): funzione del browser che permette a frame o finestre diverse di scambiarsi messaggi tra loro.

innerHTML: metodo JavaScript che inserisce contenuto HTML grezzo direttamente in un elemento della pagina.

CSP (content security policy): insieme di regole di sicurezza che controllano quali risorse (script, stili, immagini ecc.) un browser può caricare ed eseguire su una pagina web.

iframe: elemento HTML che incorpora un'altra pagina web all'interno di una pagina principale.

endpoint oEmbed: servizio che restituisce informazioni formattate (spesso includendo codice) quando si fornisce un URL di un contenuto, come un video YouTube.

bug bounty: programma mediante il quale un'azienda paga ricercatori di sicurezza che segnalano vulnerabilità nei propri prodotti.

P1: classificazione di gravità massima utilizzata per segnalamdi di sicurezza, indica la vulnerabilità più critica.

Fonti

1. How We Took Over ChatGPT Accounts
2. Do the Math: How We Took Over ChatGPT Accounts