Como assumimos as contas ChatGPT
31 de outubro de 2026 – Link Blog
Como assumimos as contas ChatGPT (via) Parameter Labs descreve uma exploração que encontraram na implementação do padrão de artefatos do ChatGPT (OpenAI costumava chamar isso de “Canvas”, mas parece que a revisão mais recente é chamada de visualizações HTML), onde aplicativos HTML personalizados interativos são exibidos em um iframe em área restrita.
É importante que o HTML permaneça em uma área restrita para evitar que códigos não confiáveis interajam com APIs OpenAI e acessem dados privados.
O parâmetro encontrou uma cadeia de ataque bastante complexa. OpenAI usa a biblioteca MathLive JavaScript como parte de seu suporte gráfico, e essa biblioteca inclui seu próprio teclado virtual, que pode ser acionado na página pai via postMessage() do iframe em sandbox.
Esse código de recebimento de mensagem usa innerHTMLportanto, qualquer coisa que envie uma mensagem pode adicionar HTML personalizado ao pai – e não havia nenhum mecanismo para impedir que outros quadros em área restrita, incluindo quadros de visualização de HTML, chamassem esse método.
Isso significava que código não confiável em um iframe poderia inserir HTML e, embora innerHTML não executa diretamente elementos de script, pode ser usado para injetar um novo iframe sem restrições de sandbox.
As regras CSP da OpenAI bloquearam totalmente os scripts in-line e só permitiram o carregamento de scripts de alguns domínios, mas um deles era o YouTube – e o endpoint oEmbed do YouTube poderia ser usado para refletir o JavaScript de uma forma que o executasse.
Depois que o ataque teve execução de JavaScript no ChatGPT, era trivial buscar dados privados do usuário nas APIs e exfiltrá-los por meio de uma referência de imagem.
O resultado final: você poderia criar um URL de compartilhamento ChatGPT que, quando visitado por outro usuário conectado, poderia exfiltrar seus dados privados ou realizar ações em seu nome.
A OpenAI fechou o buraco e pagou uma recompensa por bug de US$ 5.000, o que acho um pouco barato para uma vulnerabilidade tão séria.
