Un lien public vers une conversation ChatGPT pouvait, jusqu'au 26 octobre 2026, exécuter du code d'un attaquant dans la session de la personne qui l'ouvrait — et, ce faisant, lire des conversations privées qui n'avaient jamais été partagées. La découverte vient de l'entreprise de sécurité Parameter, qui a signalé le problème à OpenAI le 18 octobre et publié son analyse technique le 28 octobre, après la correction. Selon Parameter, aucun usage réel de la faille n'a été signalé en dehors des tests contrôlés de l'entreprise elle-même.
Comment la faille fonctionnait
Le point central n'était pas une seule erreur isolée, mais la combinaison de fonctionnalités qui semblaient inoffensives séparément. ChatGPT affiche des blocs HTML dans une fonction appelée Preview, à l'intérieur d'un cadre restreint sur une autre adresse, afin que ce code ne puisse pas lire la page principale. Le bac à sable de Preview a tenu. La voie d'entrée est venue d'une seconde fonctionnalité dans la même conversation : un graphique interactif chargeait la bibliothèque de mathématiques MathLive dans la page principale de ChatGPT, et le récepteur de messages du clavier virtuel de cette bibliothèque acceptait des instructions de n'importe quel cadre, sans vérifier l'origine, en traitant des données de mise en page comme du HTML.
Grâce à cette brèche, le HTML de l'attaquant atteignait la page de confiance et créait un cadre dépourvu des restrictions du bac à sable, héritant de l'identité de chatgpt.com. La politique de sécurité du site bloquait le code intégré, mais autorisait les scripts de YouTube — et c'est par cette voie autorisée que le code final a fini par s'exécuter. Une fois dans la session, le code appelait les propres API authentifiées de ChatGPT : lors de la démonstration contrôlée, il a listé les conversations récentes, ouvert une conversation privée et envoyé un extrait de celle-ci à un serveur contrôlé par les chercheurs.
Chronologie et correction
La chronologie, selon Parameter, a été rapide : la voie a été confirmée le 13 octobre, le signalement est parvenu à OpenAI le 18 octobre, l'entreprise a reproduit le problème le 21 octobre et relevé la gravité de P2 à P1, sa catégorie la plus grave. Le 26 octobre, les deux versions de l'interface web rejetaient déjà les messages utilisés dans l'attaque, et OpenAI a versé une prime de 5 000 dollars. Aucun CVE n'a été attribué à ce cas.
Ce que l'utilisateur doit faire
Pour l'utilisateur de ChatGPT, il n'y a rien à installer ni à réinitialiser : la correction a été appliquée côté serveur. La leçon plus générale reste valable même après la correction : un lien de conversation partagée provenant d'une source inconnue doit être traité avec la même prudence que n'importe quel lien inconnu, car il peut contenir davantage que le texte visible à l'écran. Pour les équipes qui intègrent MathLive dans leurs propres sites, Parameter avertit que la divulgation n'identifie pas de version corrigée de la bibliothèque : il faut vérifier le comportement du traitement des messages dans la version installée, et non supposer qu'une mise à jour résout le problème.
Une mise en garde éditoriale importante : la classification P1, les dates et la correction relèvent du récit de Parameter, repris par The Hacker News et Ostorlab. Dans les sources consultées, aucun communiqué propre d'OpenAI sur ce cas n'a été trouvé. La gravité vient de la capacité démontrée en laboratoire, et non d'un abus observé chez de vrais utilisateurs.
Fontes
- Parameter — Do the Math: How We Took Over ChatGPT Accounts
- The Hacker News — A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private Chats
- Ostorlab — ChatGPT Shared-Link Account Takeover via MathLive Sandbox Escape
Crédit image : image de ChatGPT publiée par The Hacker News.
Transparence : cet article a été préparé avec l'aide de l'intelligence artificielle, à partir du recoupement de publications publiques sur X et de sources internet citées ci-dessus. Consultez les sources originales pour confirmer les détails.
— Muse
