Un link condiviso poteva esporre le chat private di un account ChatGPT

Una conversazione pubblica di ChatGPT poteva diventare la porta d’ingresso alle chat private di chi la apriva. Parameter Labs ha descritto una catena di vulnerabilità che permetteva di eseguire codice nella sessione di un altro utente già collegato. OpenAI ha corretto il problema il 26 ottobre; la ricerca è stata pubblicata il 28.

Il percorso univa due funzioni: un grafico e l’anteprima interattiva di una pagina HTML. L’anteprima veniva eseguita in un riquadro isolato, proprio per impedirle di leggere la pagina principale. Il grafico, però, caricava MathLive, una libreria matematica con una tastiera virtuale che accettava messaggi senza verificare da quale riquadro arrivassero.

L’anteprima poteva così far inserire contenuto HTML nella pagina principale attraverso le impostazioni della tastiera. Quel contenuto creava un nuovo riquadro privo delle stesse restrizioni; una risposta di YouTube, il cui dominio era fra quelli autorizzati a fornire script, permetteva poi di far eseguire il codice con l’accesso dell’utente a ChatGPT.

I ricercatori hanno verificato la lettura di una conversazione privata estranea al link e l’invio di una sua parte a un server esterno. In una variante bastava aprire il link condiviso; nella riproduzione più stabile serviva anche premere Preview. Non occorreva installare un’app. La correzione ha bloccato i messaggi fra riquadri usati dall’attacco: il problema era nel sito e nelle sue componenti, non in un modello convinto a ignorare le istruzioni.