Un equipo de investigación de seguridad encontró una manera de hacerse cargo de cualquier cuenta ChatGPT simplemente haciendo que la víctima abriera un enlace de conversación compartido, según una divulgación técnica publicada por Parameter Labs el 28 de octubre. La compañía informó que OpenAI solucionó la vulnerabilidad el 26 de octubre y clasificó el informe como P1, su clasificación de gravedad más alta.
El hallazgo es una rara apropiación de cuentas de extremo a extremo contra una plataforma de IA convencional, y surgió mientras los últimos desarrollos de IA siguen mostrando cuánto material sensible la gente guarda ahora dentro de las aplicaciones de chat. Parameter Labs dijo que el ataque no requirió instalación de aplicaciones, ni herramientas de desarrollo, ni interacción más allá de abrir la URL ChatGPT compartida del atacante.
Cómo funcionó la cadena de ataque
La cadena abusó de dos características ordinarias de ChatGPT que parecían inofensivas de forma aislada: un gráfico interactivo y la zona de pruebas de vista previa HTML. La función de vista previa de ChatGPT ejecuta HTML generado en un marco restringido en una dirección web separada, lo que debería evitar que toque la página chatgpt.com iniciada a su alrededor.
El avance provino del gráfico, que cargó una biblioteca matemática llamada MathLive. Esa biblioteca instaló un detector de mensajes en la página principal de ChatGPT para su teclado en pantalla, pero Parameter Labs descubrió que el detector aceptaba mensajes de cualquier origen sin verificar al remitente. Un tipo de mensaje aceptado podría reemplazar la distribución del teclado virtual con HTML controlado por el atacante, que MathLive luego insertaría en la página real de ChatGPT a través de InnerHTML.
Los scripts insertados de esa manera normalmente no se ejecutan, por lo que los investigadores empaquetaron su carga útil en un iframe usando el atributo srcdoc. Debido a que la página principal de ChatGPT creó ese marco sin una zona de pruebas, el navegador trató el código dentro de él como contenido genuino de chatgpt.com con acceso a la página principal.
Escapar de la política de seguridad de contenido
La Política de seguridad de contenido de ChatGPT todavía bloqueaba los scripts en línea, pero Parameter Labs encontró una brecha: la política permitía scripts de YouTube. Los investigadores descubrieron que el punto final oEmbed de YouTube reflejaba un parámetro de devolución de llamada JSONP no válido en su respuesta de error antes de la validación, lo que les permitía anteponer JavaScript ejecutable a una respuesta que el navegador cargaría felizmente como un script.
En ese momento, el equipo tenía JavaScript arbitrario ejecutándose con la identidad de chatgpt.com dentro de la sesión iniciada de la víctima. Parameter Labs fue explícito sobre lo que eso significaba en la práctica: la carga útil no se limitaba a modificar la página o mostrar una alerta: podía llamar directamente a las API autenticadas de ChatGPT como víctima. En las pruebas, la carga útil podría enumerar la lista de conversaciones de la víctima, recuperar el contenido de conversaciones privadas que nunca se compartieron con el atacante y enviar esos datos a un servidor externo. El navegador identificó cada acción como proveniente del propio chatgpt.com, sin dar a la víctima ninguna señal visible de que algo andaba mal.
Un enlace fue suficiente
Lo que convirtió un error de investigación en un arma práctica fue la entrega. Los investigadores pusieron el gráfico y un bloque HTML de vista previa en una sola conversación ordinaria, lo publicaron con la función de compartir normal de ChatGPT y enviaron el enlace /compartir/ resultante por las mismas rutas que cualquiera usaría: correo electrónico, chat, un ticket de soporte o una publicación social.
En la reproducción más estable, la víctima tenía que hacer clic en el botón Vista previa de ChatGPT una vez después de abrir el enlace. Una versión posterior marcó el bloque HTML como previsualizable, por lo que ChatGPT lo abrió automáticamente y la única acción requerida por la víctima fue visitar la URL. El equipo reprodujo esa ruta completamente automática tres veces en una cuenta separada, incluso después de una actualización completa, y la carga útil se disparó aproximadamente 4,5 segundos después de cargar la página.
Debido a que el gráfico y la vista previa se cargaban de forma independiente, en ocasiones la carga útil podía activarse antes de que MathLive estuviera listo. La versión final volvió a intentar sus mensajes durante un período limitado para manejar esa condición de carrera.
Divulgación y solución
Parameter Labs informó del problema a OpenAI, que envió una solución el 26 de octubre y calificó el informe como P1. La divulgación llega en medio de una serie más amplia de investigaciones sobre seguridad de plataformas de IA; A principios de esta semana, The Register informó errores en cinco herramientas de desarrollo de inteligencia artificial, algunas de las cuales aún no estaban corregidas en el momento de su publicación.
La lección se generaliza más allá de una biblioteca. Las aplicaciones de chat modernas componen componentes de terceros, vistas previas protegidas y canales de mensajes permisivos en una única página autenticada, y cualquier receptor postMessage no verificado puede convertirse en el puente entre ellos. Para los usuarios, la guía práctica no ha cambiado con respecto a la seguridad web clásica: trate los enlaces a conversaciones compartidas de IA de la misma manera que trata cualquier otro enlace no solicitado, porque la plataforma ya no puede prometer que abrir uno es inofensivo.
Por su parte, la clasificación P1 de OpenAI y su rápida respuesta sugieren que la empresa trata los ataques de sesión basados en navegador en chatgpt.com como amenazas de primer nivel. El incidente también es un recordatorio de cuánto valor se concentra en estas cuentas ahora que los usuarios almacenan documentos de trabajo, preguntas médicas y proyectos privados en el historial de chat: exactamente el contenido que Parameter Labs demostró que un atacante podría haber extraído.
---
Manténgase a la vanguardia de la IAObtenga las últimas noticias, análisis y avances en IA, todo en un solo lugar.
Leer más noticias sobre IA →
