Una vulnerabilità dell’app ChatGPT per macOS, resa nota il 2 ottobre 2026, avrebbe potuto esporre le chat e altri dati salvati dall’app. I ricercatori della Objective-See Foundation avrebbero individuato un modo per far arrivare uno script non attendibile nel processo principale di ChatGPT; secondo Patrick Wardle, l’attacco avrebbe potuto anche impartire comandi a un browser o ad altre applicazioni sensibili. OpenAI avrebbe riconosciuto e corretto la falla il 25 settembre 2026.
Cosa avrebbe potuto fare la vulnerabilità
Il possibile impatto comprendeva l’accesso ai registri delle chat e ad altri dati conservati dall’app. Il percorso descritto avrebbe inoltre potuto consentire di usare ChatGPT per inviare comandi a un browser o ad altre applicazioni sensibili.
Come avrebbe funzionato il bypass dei controlli
L’app controllava le firme digitali dei componenti e verificava la discendenza dei processi: in sostanza, controllava anche da quali processi discendeva una richiesta. Nella spiegazione di Patrick Wardle, un interprete di script considerato attendibile avrebbe potuto ricevere uno script non attendibile e inoltrarlo al processo principale di ChatGPT.
Il bypass descritto avrebbe sfruttato tre avvii dell’interprete per soddisfare i controlli sul processo, sul processo padre e sul nonno. In questo modo, la richiesta avrebbe potuto superare quelle verifiche e raggiungere il processo principale dell’app.
OpenAI avrebbe corretto la falla il 25 settembre 2026
OpenAI avrebbe riconosciuto e corretto la vulnerabilità il 25 settembre 2026, una settimana prima che il caso diventasse pubblico. Il 2 ottobre 2026 è la data in cui la vulnerabilità è stata resa nota.
