Ссылка на чужой чат ChatGPT открывала личные переписки без фишинга

Атака не требовала ни фишингового письма, ни украденного пароля. Злоумышленник создавал собственный чат с вредоносными элементами и открывал к нему общий доступ. Получатель видел настоящий адрес chatgpt.com, но вместе со страницей загружался сторонний код — и начинал работать в контексте уже авторизованного аккаунта.

Цепочка строилась на интерактивном графике и предпросмотре HTML. График подтягивал библиотеку для математической клавиатуры MathLive, которая позволяла подменять разметку. Предпросмотр отправлял ей сообщения, а библиотека принимала их без проверки отправителя. Через подменённую разметку создавался встроенный фрейм без sandbox, который браузер воспринимал как часть chatgpt.com. Политику безопасности контента обходили через разрешённый сервис YouTube, возвращавший JavaScript. В результате исследователи получили список последних диалогов и сообщения из закрытой беседы — не только то, что было на открытой странице.

В стабильном варианте хватало одного клика по предпросмотру, позже удалось добиться автоматического запуска при простом переходе по ссылке — его воспроизвели трижды в отдельном аккаунте. Речь идёт о доступе к чужим сообщениям, а не о массовом захвате аккаунтов. Уязвимость отправили в OpenAI 18 октября 2026 года, 21 октября компания подняла серьёзность с P2 до P1, а к 26 октября обе версии веб-интерфейса перестали принимать вредоносные сообщения. Исследователям выплатили 5000 долларов. Подтверждений реальных жертв или применения атаки вне эксперимента нет.

Почему это важно российским компаниям

Общие ссылки на чаты и документы давно стали рабочим инструментом: ими делятся в мессенджерах, пересылают подрядчикам, вставляют в тикеты. В российской практике такие сценарии часто соседствуют с корпоративными прокси и шлюзами, которые доверяют популярным доменам. Если сотрудник переходит по ссылке на внешний ИИ-сервис из рабочей сети, риск утечки переписки или фрагментов внутренних документов ложится на компанию. Отдельно стоит учесть, что ссылки на ChatGPT ранее использовали для маскировки вредоносных страниц — сам домен в адресной строке перестал быть гарантией безопасности.

Что делать пользователям и ИБ-службам

Пользователям устанавливать ничего не нужно: исправление внесено на стороне сервиса. Но стоит пересмотреть привычку открывать ссылки на чаты от малознакомых отправителей и не пересылать во внешние сервисы рабочие документы без необходимости. ИБ-службам имеет смысл проверить, как в компании регулируется использование внешних ИИ-инструментов, ограничить переходы по незнакомым ссылкам и напомнить сотрудникам, что публичная ссылка на чат — это фактически доступ к его содержимому.