L'équipe de sécurité Parameter a rendu publique une chaîne d'attaque contre ChatGPT désormais corrigée : l'attaquant envoie un lien de partage de conversation ordinaire, la victime l'ouvre alors qu'elle est connectée, et le JavaScript de l'attaquant s'exécute dans la session chatgpt.com. Lors des tests, les chercheurs ont listé les conversations récentes de la victime, lu un chat privé qui n'avait jamais été partagé et envoyé une petite quantité de données vers un serveur externe.
L'ensemble se déroule sans installer d'application, sans connecter de plugin tiers et sans ouvrir les outils de développement. OpenAI a confirmé la correction le 26 octobre et classé la faille en P1.
Deux fonctions bien isolées, reliées par un clavier
L'aperçu HTML de ChatGPT s'exécute dans un domaine isolé qui, par conception, ne peut pas toucher la page principale. Le problème vient des graphiques interactifs des conversations : ils chargent la bibliothèque de saisie mathématique MathLive, qui installe sur la page principale un écouteur de messages du clavier virtuel.
Le rapport de Parameter décompose le défaut en plusieurs couches :
- L'écouteur ne vérifie pas l'origine du message, si bien que l'aperçu du domaine isolé peut aussi lui en envoyer
- Les messages peuvent modifier la disposition du clavier, la disposition admet du HTML, et celui-ci finit écrit dans la page principale
- La fonction chargée de « nettoyer » se contente en réalité de marquer la chaîne comme fiable
- L'iframe nouvellement insérée n'a pas d'attribut sandbox et hérite donc de l'identité de chatgpt.com
- La politique de sécurité du contenu autorise les scripts YouTube, et les chercheurs l'ont contournée grâce à une interface de callback de ce service
Dans les premières versions, la victime devait en plus connecter l'application ChatGPT des chercheurs. Ils ont ensuite placé le graphique et l'aperçu malveillant dans une même conversation publique, de sorte que la seule fonction de partage suffisait à la livraison. Le rapport publie aussi une partie des détails des requêtes, que nous ne reprenons pas ici.
Concernant l'effet de l'attaque, ce que le rapport a réellement testé, c'est la lecture de conversations et l'envoi de données vers l'extérieur. L'idée d'« exécuter n'importe quelle action au nom de la victime » est une déduction des chercheurs à partir de l'interface d'authentification du front-end, et non une démonstration point par point.
Huit jours entre le signalement et le correctif
Le rapport est très détaillé. Le 13 octobre, le chemin passant par MathLive est confirmé ; le 16 octobre, la reproduction réussit entre comptes et entre espaces de travail ; le 18 octobre, la faille est soumise au programme de primes de OpenAI. OpenAI la reproduit le 21 octobre et la fait passer de P2 à P1, indique le 22 octobre qu'un front-end est corrigé et que l'autre est en cours de mise à jour, puis ajuste d'abord la politique de sécurité du contenu le 23 octobre, ce qui bloque une partie de la chaîne.
La version web de ChatGPT fait tourner deux front-ends en parallèle, d'où une correction en deux temps.
Une prise de contrôle de compte qui n'est pas inédite
Partage, plugins, cache : par le passé, les failles de prise de contrôle de compte de ChatGPT se situaient le plus souvent en marge du parcours principal. En 2023, le chercheur Nagli avait obtenu un jeton d'accès par web cache deception, là aussi avec un simple clic de la victime sur un lien ; en 2024, Salt Labs a divulgué un problème de redirection dans le flux d'autorisation des plugins. Cette fois, la porte d'entrée est une bibliothèque tierce utilisée pour afficher le contenu.
MathLive n'en est pas non plus à son premier incident : la base nationale des vulnérabilités des États-Unis recense sa faille de cross-site scripting CVE-2025-29049, qui touche la version 0.103.0 et les précédentes. Cette fiche ne mentionne pas les messages du clavier virtuel, et aucun lien direct entre les deux cas n'apparaît.
Pour l'instant, l'utilisateur ordinaire n'a rien à faire. Le rapport ne dit pas si cette chaîne a été exploitée en pratique, OpenAI n'a pas publié d'annonce spécifique et nous n'avons pas pu vérifier l'existence de victimes. Une habitude mérite toutefois d'être gardée : traiter un lien de partage ChatGPT envoyé par un inconnu comme n'importe quel autre lien web.
Le conseil final du rapport aux développeurs est simple : pour les messages entre fenêtres, vérifier à la fois l'origine et la fenêtre émettrice ; ne pas laisser les paramètres transporter du HTML brut ; et ne voir dans la politique de sécurité du contenu qu'une ligne de défense de secours.
Sources : CocoLoop, rapport de recherche en sécurité de Parameter, base nationale des vulnérabilités des États-Unis ; l'avancement des correctifs et les primes suivent les informations communiquées par l'équipe de recherche, OpenAI n'ayant pas fait d'annonce spécifique.