Parameter veröffentlichte am 28. Oktober 2026 einen Bericht über eine Sicherheitslücke in ChatGPTs Funktion für geteilte Chats. In einem kontrollierten Test griff die Sicherheitsfirma auf Inhalte eines privaten Chats zu. Laut Parameter hatte OpenAI die Lücke am 26. Oktober auf zwei Web-Frontend-Versionen behoben. Parameter berichtete von keiner Ausnutzung in der realen Welt.
Parameter zufolge wies OpenAI am 26. Oktober die im Bericht verwendeten Nachrichten auf beiden betroffenen Frontends zurück und erklärte den Fehler für behoben. Nutzer mussten laut The Hacker News weder etwas installieren noch zurücksetzen.
Was Parameter im kontrollierten Test zeigte
Der Test lief zwischen getrennten Konten. Parameter zufolge listete das Forschungsteam aktuelle Unterhaltungen auf, rief Inhalte aus einem privaten Chat ab, den es nicht mit den Forschern geteilt hatte, und übermittelte einen kleinen ausgewählten Ausschnitt an einen von ihm kontrollierten Server.
Mussten Nutzer auf „Preview“ klicken? In der stabileren Reproduktion war nach dem Öffnen des geteilten Chats ein Klick auf „Preview“ nötig. Eine spätere Variante öffnete die Vorschau automatisch, sodass das Öffnen des Links genügte. Parameter reproduzierte diesen Ablauf nach eigenen Angaben dreimal, auch nach einem vollständigen Neuladen der Seite. Eine Meldung erschien dabei nach etwa 4,5 Sekunden.
Wie Preview und MathLive die Sicherheitsgrenze überwanden
Die Angriffskette begann mit einer geteilten Unterhaltung, deren Vorschau und Grafik MathLive in der ChatGPT-Hauptseite luden. MathLive ist eine Bibliothek für mathematische Inhalte. Ihr Listener, also ein Programmteil, der Nachrichten empfängt, akzeptierte laut Parameter eine Nachricht aus einem anderen Browserrahmen, ohne den Absender zu prüfen. Die Nachricht konnte außerdem HTML enthalten.
Das HTML erzeugte einen nicht abgeschotteten Frame, einen eingebetteten Browserbereich, der die Web-Identität von ChatGPT übernahm. Dadurch konnte der eingeschleuste Code in der angemeldeten ChatGPT-Sitzung ausgeführt werden. YouTube diente in Parameters Reproduktion als letzter Umweg an der Content Security Policy vorbei. Diese Richtlinie begrenzt, von welchen Quellen eine Website Inhalte laden darf. YouTube war laut Parameter ein Hilfsmittel der Angriffskette, nicht die Ursache der Sicherheitslücke.
Wie sich Forschung und Behebung entwickelten
Parameter datierte die eigenen Tests und die Rückmeldungen von OpenAI wie folgt:
- 13. Oktober: Parameter bestätigte nach eigener Darstellung den Weg von MathLive-Nachrichten zu HTML im produktiven ChatGPT-Code.
- 14. Oktober: Das Team führte über die normale Oberfläche JavaScript-Code aus.
- 16. Oktober: Parameter bestätigte die Zustellung über einen öffentlichen Link zwischen getrennten Konten. Der Ablauf erforderte einen Klick auf „Preview“.
- 17. Oktober: Das Team reproduzierte eine Variante, bei der sich „Preview“ beim Öffnen des Links automatisch startete.
- 18. Oktober: Parameter übermittelte den Bericht über OpenAIs Bug-Bounty-Programm.
- 19. Oktober: Parameter ergänzte den kontrollierten Nachweis mit Daten aus einem privaten Chat.
- 21. Oktober: OpenAI reproduzierte das Problem und stufte es laut Parameter von P2 auf P1 hoch.
- 22. Oktober: OpenAI teilte Parameter mit, dass ein Frontend aktualisiert sei und das zweite noch überarbeitet werde. Am 23. Oktober blockierten Änderungen an der Content Security Policy einen Teil der Angriffskette, während das zweite Update noch ausstand.
- 26. Oktober: Beide Frontends wiesen die im Bericht verwendeten Nachrichten zurück. Parameter meldete die Behebung und eine Bug-Bounty-Prämie von 5.000 US-Dollar.
