El equipo de seguridad Parameter ha hecho pública una cadena de ataque contra ChatGPT que ya está corregida: el atacante envía un enlace corriente para compartir una conversación, la víctima lo abre con la sesión iniciada y el JavaScript del atacante se ejecuta dentro de la sesión de chatgpt.com. En las pruebas, los investigadores listaron las conversaciones recientes de la víctima, leyeron un chat privado que nunca se había compartido y enviaron una pequeña cantidad de datos a un servidor externo.
Todo el proceso se hizo sin instalar aplicaciones, sin conectar plugins de terceros y sin abrir las herramientas de desarrollo. OpenAI confirmó la corrección el 26 de octubre y clasificó el fallo como P1.
Dos funciones bien aisladas, unidas por un teclado
La vista previa HTML de ChatGPT se ejecuta en un dominio aislado que, por diseño, no puede tocar la página principal. El problema está en los gráficos interactivos de las conversaciones: cargan la biblioteca de entrada matemática MathLive, que instala en la página principal un oyente de mensajes del teclado virtual.
El informe de Parameter divide el defecto en varias capas:
- El oyente no comprueba de dónde viene el mensaje, así que la vista previa del dominio aislado también puede enviarle mensajes
- Los mensajes pueden cambiar la disposición del teclado, la disposición admite HTML y este termina escrito en la página principal
- La función encargada de «sanear» en realidad solo marca la cadena como de confianza
- El iframe recién insertado carece del atributo sandbox y hereda la identidad de chatgpt.com
- La política de seguridad de contenidos permite scripts de YouTube, y los investigadores la sortearon usando una interfaz de callback de este
En las primeras versiones, la víctima además debía conectar la aplicación de ChatGPT de los investigadores. Más tarde metieron el gráfico y la vista previa maliciosa en una misma conversación pública, de modo que la función de compartir bastaba por sí sola para la entrega. El informe también publica parte de los detalles de las peticiones, que no reproducimos aquí.
En cuanto al efecto del ataque, lo que el informe probó en la práctica fue leer conversaciones y sacar datos al exterior. La idea de «ejecutar cualquier acción en nombre de la víctima» es una deducción de los investigadores a partir de la interfaz de autenticación del front-end, no algo demostrado punto por punto.
Ocho días de la notificación a la corrección
El informe es muy detallado. El 13 de octubre se confirmó la ruta a través de MathLive; el 16 de octubre se logró reproducirla entre cuentas y entre espacios de trabajo; el 18 de octubre se envió al programa de recompensas de OpenAI. OpenAI lo reprodujo el 21 de octubre y elevó el nivel de P2 a P1, el 22 de octubre comunicó que un front-end ya estaba corregido y el otro seguía actualizándose, y el 23 de octubre ajustó primero la política de seguridad de contenidos, bloqueando parte de la cadena.
La versión web de ChatGPT mantiene dos front-ends en paralelo, por lo que la corrección también se hizo en dos pasos.
No es la primera toma de cuentas
Compartir, plugins, caché: las vulnerabilidades de toma de cuentas de ChatGPT en el pasado solían estar en los márgenes del flujo principal. En 2023, el investigador Nagli obtuvo un token de acceso mediante web cache deception, también con un solo clic de la víctima en un enlace; en 2024, Salt Labs divulgó un problema de redirección en el flujo de autorización de plugins. Esta vez la puerta de entrada es una biblioteca de terceros que se usa para renderizar contenido.
MathLive tampoco es nuevo en estos asuntos: la Base de Datos Nacional de Vulnerabilidades de Estados Unidos recoge su fallo de cross-site scripting CVE-2025-29049, que afecta a la versión 0.103.0 y anteriores. Ese registro no menciona mensajes del teclado virtual, así que no se aprecia una relación directa entre ambos casos.
Por ahora, el usuario común no tiene que hacer nada. El informe no dice si la cadena llegó a explotarse, OpenAI no ha publicado un comunicado específico y no hemos podido verificar si hubo víctimas. Eso sí, hay un hábito que conviene conservar: tratar los enlaces compartidos de ChatGPT que envía un desconocido como cualquier otro enlace web.
El consejo del informe a los desarrolladores es sencillo: en los mensajes entre ventanas, validar tanto el origen como la ventana emisora; no permitir que los ajustes lleven HTML sin procesar; y considerar la política de seguridad de contenidos solo como línea de defensa de reserva.
Fuentes: CocoLoop, informe de investigación de seguridad de Parameter, Base de Datos Nacional de Vulnerabilidades de EE. UU.; el avance de la corrección y las recompensas siguen lo divulgado por el equipo de investigación, y OpenAI no ha emitido un comunicado específico.