Le 2 octobre 2026, une faille de l’application ChatGPT pour macOS a été rendue publique. Les chercheurs de l’Objective-See Foundation ont décrit un contournement qui aurait pu exposer les conversations et d’autres données stockées dans l’app, ou permettre à un script d’envoyer des commandes vers un navigateur et d’autres applications sensibles.
La faille signalée dans ChatGPT pour macOS
La faille aurait pu donner à un script non fiable un chemin vers le processus principal de ChatGPT, c’est-à-dire le processus central de l’application. L’impact potentiel allait de l’accès aux journaux de conversation et à d’autres données stockées par l’app à l’envoi de commandes visant un navigateur ou des applications sensibles.
Le contournement des contrôles de processus
Patrick Wardle a expliqué le mécanisme rapporté par l’Objective-See Foundation. L’application vérifiait les signatures numériques de ses composants et contrôlait aussi la filiation d’un processus — notamment son parent et son grand-parent. Un interpréteur de scripts considéré comme fiable aurait pu servir de relais pour transmettre un script non fiable au processus principal de ChatGPT.
Le script aurait lancé l’interpréteur trois fois, de façon à satisfaire les contrôles portant sur la chaîne de processus avant d’envoyer sa requête. Patrick Wardle estimait que sa preuve de concept tenait en une douzaine de lignes de code.
La correction datée du 25 septembre 2026
OpenAI aurait reconnu la faille et l’aurait corrigée le 25 septembre 2026, avant sa révélation publique le 2 octobre.
