Luka w linkach udostępniania ChatGPT. Co wiadomo o poprawce

Na czym polegała luka w ChatGPT

Problem dotyczył publicznych linków do rozmów, czyli funkcji, która pozwala przesłać komuś adres z zapisem czatu. Według raportu Parameter z 28 października 2026 roku atakujący mógł przygotować taką rozmowę tak, aby po jej otwarciu w przeglądarce ofiary uruchamiał się jego kod. Działo się to w sesji zalogowanego użytkownika, a więc z jego uprawnieniami.

Badacze opisują, że błąd nie tkwił w jednej funkcji. Złożyły się na niego udostępnianie rozmów, podgląd HTML, osadzony komponent do wpisywania wzorów matematycznych oraz ustawienia zabezpieczeń przeglądarki. Cloud Security Alliance (CSA) w analizie z 31 października precyzuje, że sam sandbox podglądu HTML działał zgodnie z założeniami. Słabym punktem była biblioteka MathLive załadowana na głównej stronie chatgpt.com i zbyt liberalne reguły bezpieczeństwa treści.

Nie publikujemy technicznych szczegółów, które mogłyby ułatwić powtórzenie ataku na innych usługach. Pełny opis jest dostępny w raporcie badaczy.

Co mógł zobaczyć atakujący

W kontrolowanym teście badacze wyświetlili listę ostatnich rozmów ofiary, odczytali prywatny czat, do którego nie mieli dostępu, i przesłali wybrany fragment na serwer pod swoją kontrolą. Według Parameter ten sam dostęp mógł objąć także inne działania dostępne z poziomu interfejsu WWW. CSA zaznacza, że to wniosek badaczy, a nie zademonstrowany wynik, i że nie ma dowodów na dotarcie do połączonych aplikacji (konektorów).

Warunki były proste. Ofiara musiała być zalogowana w ChatGPT i otworzyć link opublikowany przez atakującego. W najstabilniejszej wersji wystarczało jedno kliknięcie przycisku podglądu, a w późniejszym wariancie podgląd otwierał się sam. Nie trzeba było instalować aplikacji, dołączać do przestrzeni roboczej ani wklejać kodu.

Jak przebiegało zgłoszenie i naprawa

Oś czasu pochodzi z raportu Parameter. OpenAI nie wydało osobnego komunikatu o tej luce.

• 13-17 października 2026 - badacze potwierdzają problem w produkcyjnej wersji ChatGPT i między osobnymi kontami.
• 18 października - zgłoszenie w programie bug bounty OpenAI.
• 21 października - OpenAI odtwarza błąd i podnosi priorytet z P2 na P1.
• 22-23 października - poprawka w pierwszej wersji interfejsu i zmiany reguł bezpieczeństwa treści, które blokują część ataku.
• 26 października - OpenAI potwierdza poprawkę w obu wersjach interfejsu WWW i przyznaje 5000 USD nagrody.
• 28 października - publikacja raportu Parameter, 31 października analiza CSA.

Co zrobić teraz użytkownikom i firmom

Zwykły użytkownik nie musi zmieniać hasła ani ustawień z powodu tej luki, bo poprawkę wdrożono po stronie OpenAI. Z incydentu wynika jednak praktyczna zasada. Link do cudzej rozmowy z chatbotem warto traktować jak każdy nieoczekiwany załącznik, nawet jeśli prowadzi do zaufanej domeny.

Firmy korzystające z ChatGPT w zespołach mają więcej do sprawdzenia. W kontach AI leżą przesłane pliki, pamięć, własne GPT i autoryzacje konektorów, więc przejęcie sesji jest groźniejsze niż odczyt jednej rozmowy. CSA zaleca przegląd logów autoryzacji konektorów, pytanie dostawców o możliwość wyłączenia publicznego udostępniania i automatycznego podglądu oraz poinformowanie pracowników o ryzyku. Zespoły, które same osadzają MathLive w swoich aplikacjach, powinny zaktualizować bibliotekę co najmniej do wersji 0.110.0 i jawnie ograniczyć dozwolone źródła komunikatów.

Czego nie wiadomo

Brakuje stanowiska OpenAI na temat ewentualnego wykorzystania luki przed 26 października. Parameter nie opisuje takich przypadków, ale nie ma wglądu w logi firmy. Nie wiadomo też, czy aplikacje mobilne i desktopowe ChatGPT miały ten sam problem, bo raport dotyczy wersji przeglądarkowej.

To kolejny w ostatnich tygodniach przypadek, w którym udostępnione rozmowy z asystentem AI okazały się słabym punktem. Podobny mechanizm dotyczył wcześniej agenta Meta Muse.