Перестаньте считать публичные ссылки ChatGPT безобидными документами и проверьте, какие рабочие сценарии в вашей команде вставляют клиентские данные в чаты, которые потом кому-то расшариваются. Исследователи Parameter показали: открытия публичной share-ссылки ChatGPT было достаточно, чтобы в залогиненной сессии жертвы на chatgpt.com выполнился JavaScript атакующего.
Цепочку, разобранную в Parameter, собрали из двух несвязанных фич. HTML Preview в ChatGPT запускает код пользователя в ограниченном фрейме, но интерактивный график в том же разговоре подгружал библиотеку MathLive, которая вешала postMessage-слушатель на основной странице и не проверяла origin отправителя. Preview отправлял подготовленное сообщение, подменял раскладку виртуальной клавиатуры своим HTML, а через трюк с iframe srcdoc превращал этот HTML в выполнение JavaScript от имени жертвы. Нагрузка могла перечислять приватные беседы, читать чаты, которые никто не расшаривал, и дергать авторизованные API. OpenAI выпустил патч 26 октября 2026 года и присвоил отчету P1.
Что это значит, если ChatGPT уже встроен в ваши бизнес-процессы
Если команда рассылает клиентам share-ссылки или где-то публикует вывод HTML Preview, относитесь к этой поверхности как к недоверенной: конкретную дыру закрыли, но подобные цепочки побега из песочницы будут всплывать и дальше, они собираются из легитимных браузерных фич. Для чувствительной работы с документами я держу обработку на API-ключах с ограниченной областью, а не в потребительском интерфейсе чата - так, например, устроен сервис анализа юридических документов, который работает с договорами, не выставляя их наружу публичной ссылкой.
Почему это важно: Общие чат-ссылки теперь часть вашей поверхности атаки - проверьте, кто в рабочем пространстве может делать share, и переносите чувствительные задачи на API с ключами ограниченной области вместо потребительского UI.
Источник: Hacker News