Tim keamanan Parameter mempublikasikan rantai serangan ChatGPT yang kini sudah diperbaiki. Penyerang mengirim tautan berbagi percakapan biasa; saat korban membukanya dalam kondisi login, JavaScript milik penyerang berjalan di dalam sesi chatgpt.com korban. Dalam pengujian, para peneliti berhasil menampilkan daftar percakapan terbaru korban, membaca sebuah percakapan pribadi yang tidak pernah dibagikan, dan mengirim sedikit data ke server eksternal.
Seluruh proses tidak memerlukan instalasi aplikasi, tidak perlu menyambungkan plugin pihak ketiga, dan tidak perlu membuka alat pengembang. OpenAI mengonfirmasi perbaikan pada 26 Oktober dan menetapkan kerentanan ini sebagai P1.
Dua fitur yang terisolasi dengan baik, dihubungkan oleh satu keyboard
Pratinjau HTML di ChatGPT berjalan di domain terisolasi tersendiri dan secara desain tidak bisa menyentuh halaman utama. Masalahnya ada pada grafik interaktif di dalam percakapan: grafik itu memuat pustaka input matematika MathLive, yang memasang listener di halaman utama untuk menerima pesan keyboard virtual.
Laporan Parameter menguraikan cacat ini dalam beberapa lapisan:
- Listener tidak memeriksa asal pesan, sehingga pratinjau yang berjalan di domain terisolasi pun bisa mengirim pesan kepadanya
- Pesan dapat mengubah tata letak keyboard, tata letak boleh membawa HTML, dan HTML itu akhirnya ditulis ke halaman utama
- Fungsi yang bertugas "membersihkan" konten sebenarnya hanya menandai string sebagai tepercaya
- iframe yang baru disisipkan tidak memiliki atribut sandbox, sehingga mewarisi identitas chatgpt.com
- Kebijakan keamanan konten (CSP) mengizinkan skrip YouTube, dan para peneliti memanfaatkan salah satu antarmuka callback-nya untuk melewatinya
Versi awal juga mengharuskan korban menyambungkan ChatGPT App milik peneliti terlebih dahulu. Belakangan, mereka menaruh grafik dan pratinjau berbahaya dalam satu percakapan publik yang sama, sehingga fitur berbagi saja sudah cukup untuk mengirim serangan. Laporan itu juga memuat sebagian rincian permintaan, yang tidak diulas di sini.
Dari sisi dampak serangan, yang diuji dalam laporan adalah pembacaan percakapan dan pengiriman data keluar. Klaim bahwa penyerang dapat "melakukan tindakan apa pun atas nama korban" adalah kesimpulan peneliti dari antarmuka autentikasi front end, bukan sesuatu yang didemonstrasikan satu per satu.
Rangkaian waktu delapan hari
Laporannya sangat rinci. Jalur MathLive dikonfirmasi pada 13 Oktober, reproduksi lintas akun dan lintas workspace tercapai pada tanggal 16, dan temuan diajukan ke program bug bounty OpenAI pada tanggal 18. OpenAI mereproduksinya pada tanggal 21 dan menaikkan tingkat keparahan dari P2 ke P1, pada tanggal 22 memberi tahu bahwa satu front end sudah diperbaiki dan yang lain masih diperbarui, lalu pada tanggal 23 lebih dulu menyesuaikan kebijakan keamanan konten untuk menutup sebagian jalur serangan.
Versi web ChatGPT menjalankan dua versi front end sekaligus, sehingga perbaikannya pun dilakukan dalam dua tahap.
Pengambilalihan akun bukan yang pertama
Berbagi, plugin, cache: sebagian besar celah pengambilalihan akun ChatGPT di masa lalu muncul di pinggiran alur utama. Pada 2023, peneliti Nagli memakai web cache deception untuk mendapatkan token akses, juga hanya dengan satu klik korban pada sebuah tautan; pada 2024, Salt Labs mengungkap masalah pengalihan di alur otorisasi plugin. Kali ini pintu masuknya berpindah ke pustaka pihak ketiga untuk merender konten.
MathLive sendiri juga bukan kali pertama bermasalah. Database Kerentanan Nasional Amerika Serikat mencatat celah cross-site scripting padanya, CVE-2025-29049, yang memengaruhi versi 0.103.0 dan yang lebih lama. Catatan itu tidak menyebut pesan keyboard virtual, jadi tidak terlihat adanya hubungan langsung di antara keduanya.
Pengguna biasa untuk saat ini tidak perlu berbuat apa-apa. Laporan tidak menyebut apakah rantai serangan ini pernah dieksploitasi secara nyata, dan OpenAI juga tidak menerbitkan pengumuman khusus soal ini; kami tidak dapat memverifikasi apakah ada korban. Satu kebiasaan tetap layak dipertahankan: perlakukan tautan berbagi ChatGPT dari orang asing seperti tautan web lainnya.
Saran penutup laporan untuk pengembang cukup sederhana: untuk pesan lintas jendela, periksa asal sekaligus jendela pengirim, jangan biarkan opsi konfigurasi membawa HTML mentah, dan anggap kebijakan keamanan konten hanya sebagai garis pertahanan cadangan.
Sumber: CocoLoop, laporan riset keamanan Parameter, Database Kerentanan Nasional AS; kemajuan perbaikan dan hadiah mengikuti pengungkapan tim peneliti, OpenAI tidak membuat pengumuman terpisah.