Исследователи Parameter Labs раскрыли цепочку атак, которая позволяла захватывать аккаунты ChatGPT через HTML-предпросмотры. Об этом сообщил Саймон Уиллисон 31 октября 2026 года, пересказав отчёт команды. Уязвимость затрагивала функцию, которую OpenAI раньше называла Canvas, а в актуальной версии — HTML-предпросмотрами: интерактивные HTML-приложения показываются пользователю в изолированном iframe.
Проблема возникла из-за того, что изоляция оказалась недостаточно строгой. В ChatGPT используется JavaScript-библиотека MathLive для поддержки графиков. У неё есть виртуальная клавиатура, которую можно вызвать из sandbox-iframe через postMessage() в родительской странице. Код, принимающий это сообщение, использует innerHTML, поэтому любой фрейм мог добавить произвольный HTML в родительскую страницу. Механизма, который запрещал бы другим sandbox-фреймам, включая фреймы HTML-предпросмотров, вызывать этот метод, не было.
Само по себе использование innerHTML не исполняет скрипты напрямую, но позволяло вставить новый iframe без ограничений sandbox. Правила Content Security Policy в ChatGPT блокировали встроенные скрипты и разрешали загрузку скриптов только с ограниченного списка доменов. Один из них — YouTube. Через конечную точку YouTube oEmbed можно было отразить JavaScript таким образом, чтобы он выполнился. После получения возможности исполнять код на странице ChatGPT атакующий мог запрашивать приватные данные пользователя через API и передавать их наружу, например через ссылку на изображение.
Конечный результат: злоумышленник мог создать общедоступную ссылку ChatGPT, при переходе по которой вошедший в аккаунт пользователь терял приватные данные, а от его имени можно было выполнять действия. OpenAI закрыла уязвимость и выплатила вознаграждение в размере 5000 долларов. Саймон Уиллисон считает эту сумму недостаточной для уязвимости такой серьёзности.
Для пользователей главное практическое следствие — уязвимость уже закрыта, а эксплуатация требовала перехода по специально созданной общей ссылке ChatGPT. При этом оригинальный разбор Parameter Labs и официальное подтверждение OpenAI в полученном материале не открывались, поэтому детали патча, точные сроки закрытия и число затронутых пользователей остаются неподтверждёнными. Дата публикации поста — 31 октября 2026 года — не равна дате обнаружения или исправления уязвимости.
