Un enlace compartido de ChatGPT podría ejecutar código del atacante en tu sesión y leer chats privados.

⟫ 31/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

**Un grave fallo de seguridad en ChatGPT expone conversaciones privadas a ataques maliciosos**

En un mundo donde la inteligencia artificial se ha integrado en nuestra vida cotidiana, los riesgos asociados a su uso no solo son teóricos, sino que pueden tener implicaciones muy reales. Un reciente descubrimiento por parte de investigadores de la firma de seguridad Parameter ha revelado una vulnerabilidad crítica en ChatGPT de OpenAI que podría permitir a un atacante ejecutar código malicioso en la sesión de un usuario que abra un enlace compartido. Este tipo de fallo no solo afecta la privacidad de las conversaciones, sino que también plantea serias preocupaciones sobre la seguridad de las plataformas de IA utilizadas por millones de personas.

La vulnerabilidad fue reportada a través del programa de recompensas por errores de OpenAI el 18 de octubre y fue corregida en un plazo de ocho días. OpenAI clasificó este fallo como P1, su categoría más grave, lo que subraya la seriedad de la situación. Este incidente no es aislado; refleja una tendencia creciente en la que las plataformas digitales, especialmente aquellas que manejan datos sensibles, se convierten en objetivos atractivos para los atacantes.

El mecanismo de ataque era sorprendentemente sencillo y se basaba en un enlace público de ChatGPT. Cualquier usuario podría recibir este enlace a través de un correo electrónico, un mensaje de chat, un ticket de soporte o incluso una publicación en redes sociales. Lo más alarmante es que la víctima no necesitaba instalar nada, ni unirse a un espacio de trabajo, ni iniciar sesión a través del atacante. En la versión más efectiva del ataque, el usuario simplemente tenía que abrir el enlace y hacer clic en el botón de Vista previa de ChatGPT. En una iteración posterior, se configuró la página para abrir la Vista previa automáticamente, lo que significaba que abrir el enlace era el único paso necesario.

Una vez abierto el enlace, el código del atacante se ejecutaba dentro de la sesión iniciada de la víctima, teniendo el mismo acceso que el propio sitio web de ChatGPT. Esto permitió al atacante listar las conversaciones recientes de la víctima, abrir un chat privado que nunca había sido compartido y enviar un pequeño fragmento de dicha conversación a un servidor controlado por los investigadores. Lo inquietante de esta vulnerabilidad es que el código se comunicaba directamente con las APIs de ChatGPT, lo que le otorgaba un acceso completo a la cuenta de ChatGPT de la víctima, en lugar de limitarse a lo que se mostraba en la pantalla. "Esencialmente, podíamos realizar cualquier acción en nombre de la cuenta de ChatGPT de la víctima", afirmaron los investigadores.

Es importante señalar que esta investigación fue un test controlado; Parameter no reporta ninguna utilización real de la vulnerabilidad y llevó a cabo su prueba de chat privado entre cuentas separadas, en lugar de atacantes reales. El funcionamiento de la vulnerabilidad se basa en cómo ChatGPT convierte un bloque de HTML en una pequeña página web mediante una característica llamada Vista previa. A pesar de que esta página se ejecuta en un marco restringido y en una dirección web separada, se descubrió que podía aceptar mensajes de cualquier remitente.

El problema se origina en tres decisiones de diseño interrelacionadas. Primero, MathLive, una biblioteca matemática utilizada en el chat, actuaba sobre un mensaje que cambiaba sus configuraciones sin verificar qué marco había enviado dicho mensaje. Segundo, este mensaje estaba permitido para llevar HTML sin procesar como datos del diseño del teclado. Finalmente, el HTML podía crear un marco que no estaba aislado y que heredaba la identidad de chatgpt.com. Aunque la inclusión de scripts desde YouTube fue el último recurso que permitió la ejecución del código, no fue la causa raíz del problema. Bloquear únicamente esta etapa dejaría aún una Vista previa no confiable capaz de inyectar HTML en el sitio principal.

Para tranquilidad de los usuarios de ChatGPT, no es necesario que realicen ninguna acción. La solución ha sido implementada del lado de OpenAI, lo que significa que no hay necesidad de instalar o reiniciar nada. Parameter publicó su informe el 28 de octubre, justo después de la corrección del fallo, y OpenAI pagó un total de 5,000 dólares por el informe. Este incidente no solo resalta la importancia de la ciberseguridad en las plataformas de inteligencia artificial, sino que también subraya la necesidad de una vigilancia constante en la protección de los datos personales en un entorno digital cada vez más complejo.

◢ CIBERSEGURIDAD ◣

A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private Chats

⟫ 31/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

A malicious ChatGPT share link could run an attacker's code in the logged-in session of anyone who opened it, allowing them to read their private conversations, researchers at the security firm Parameter showed. The researchers reported the flaw throughOpenAI's bug bounty programon October 18, and OpenAI fixed it eight days later and rated it P1, its most serious category. The trap was an ordinary ChatGPT conversation shared via its public link. It could be sent the same way as any real shared chat: by email, as a chat message, as a support ticket, or as a social post. The victim did not have to install anything, join a workspace, or sign in through the attacker. In the most reliable version of the attack, they opened the link and clicked ChatGPT's Preview button once. In a later version, Parameter set the page to open Preview on its own, so opening the link was the only step. Once the link opened, the attacker's code ran inside the victim's signed-in session with the same access as the real ChatGPT site. It listed the victim's recent conversations, opened a private chat that had never been shared with the attacker, and sent a small portion of it to a server controlled by the researchers. The code called ChatGPT's own signed-in APIs directly, rather than copying what happened to be on the screen. Because it ran with the victim's full web access, its reach was not limited to those chats. "Essentially, we could perform any action on behalf of the victim's ChatGPT account," the researcherswrote. The work was a controlled test. Parameter does not report any real-world use of the flaw, and ran its private-chat proof between separate accounts rather than against real users. Here is how the chain worked, according to Parameter. ChatGPT can turn a block of HTML in a chat into a small web page through a feature called Preview. Because that page can hold any code, ChatGPT runs it in a locked-down frame on a separate web address, where it cannot read the main ChatGPT page around it. That sandbox held. The way in came from a second feature in the same conversation. The shared chat also contained an interactive graph, and drawing it loaded a math library called MathLive into the main ChatGPT page. Loading MathLive left a listener running there that accepted messages about its on-screen keyboard. A message passed between browser frames is safe only if the receiver checks who sent it. Parameter found that this listener accepted a keyboard message from any sender, and that the message was allowed to carry raw HTML. The Preview could then reach across the boundary and hand attacker HTML to the trusted main page. That HTML built a new frame that the browser treated as part of chatgpt.com. A script loaded from YouTube then supplied the code that ran inside it. ChatGPT's content security policy limits where a page's scripts may come from. It blocked inline code but allowed scripts from YouTube, which is why that step worked. Parameter said OpenAI reproduced both the code execution and the private-chat proof, raised the severity from P2 to P1, and rolled a fix across two versions of ChatGPT's web frontend. By October 26, both versions rejected the messages the attack relied on. The researchers traced the problem to three design choices that lined up: MathLive acted on a message that changed its settings without checking which frame had sent it. That message was allowed to carry raw HTML as keyboard-layout data. The HTML could create a frame that was not sandboxed and inherited the chatgpt.com identity. The YouTube step was only the final workaround, not the cause. Blocking it alone would still leave an untrusted Preview able to push HTML into the main site. ChatGPT users do not need to do anything. The fix is on OpenAI's side, with nothing to install or reset. Parameter published its writeup on October 28, after the fix. OpenAI paid a total of $5,000 for the report.

← VOLVER A CIBERSEGURIDAD