Владельцам малого бизнеса, чьи сотрудники работают с клиентскими данными в ChatGPT: смените активные сессии и не открывайте расшаренные ссылки на диалоги ChatGPT от незнакомых отправителей, потому что Parameter Labs раскрыли цепочку, позволяющую угнать залогиненный аккаунт одной ссылкой. OpenAI уже выкатил патч и выплатил баг-баунти примерно 450 000 руб. ($5,000), так что HTML-превью снова безопасны - но урок про границы доверия остается.
Атака многослойная. ChatGPT запускает пользовательские мини-приложения внутри изолированных iframe - так называемых HTML-превью. Интеграция MathLive слушала postMessage из любого фрейма и пихала содержимое в innerHTML родительской страницы без проверки origin. Инжектированная разметка могла создать новый iframe уже без sandbox-флагов, а CSP OpenAI разрешал скрипты с YouTube, oEmbed-эндпоинт которого отражает подконтрольный атакующему JavaScript. Разбор от Simon Willison показывает, как итоговый пейлоад выгружал приватные переписки через URL картинки.
Что это значит для малого бизнеса
Если через вашу браузерную сессию ChatGPT проходят счета, договоры или клиентские данные - относитесь к ней как к банк-клиенту: один человек на профиль, никаких ссылок от незнакомцев, никаких быстрых превью промтов, которые прислал клиент. Для чувствительных процессов я предпочитаю гонять LLM через бэкенд с API-ключом на сервере, чтобы браузер вообще не видел архив - тогда баг в UI не утащит весь корпус. Та же логика лежит в основе таких проектов, как пайплайн аудита юридического архива, где документы не оказываются в расшаренной SaaS-вкладке.
Почему это важно: в облачных AI-инструментах еще не раз всплывут баги на стороне браузера; практическая защита - уводить чувствительные процессы с публичного UI в пайплайны, которые принадлежат вам.
Источник: Simon Willison