Link compartilhado do ChatGPT podia rodar código de atacante e ler chats privados; OpenAI corrigiu a falha

Pesquisadores da empresa de segurança Parameter publicaram detalhes de uma vulnerabilidade já corrigida do ChatGPT: um link público de compartilhamento de aparência comum podia executar JavaScript controlado por um atacante na sessão logada de quem o abrisse. O The Hacker News noticiou a descoberta nesta semana.

O que o ataque podia fazer

Nos testes controlados da Parameter, o código rodava como chatgpt.com e podia:

• listar as conversas recentes da vítima;
• abrir um chat privado nunca compartilhado com o atacante;
• enviar parte dele a um servidor externo dos pesquisadores.

Segundo os pesquisadores, o código podia, na prática, agir como a vítima no site. Bastava abrir o link.

Causa

De acordo com a Parameter, três decisões de design se somaram: o componente de entrada matemática MathLive aceitava uma mensagem que mudava suas configurações sem verificar qual frame a enviou; a mensagem podia carregar HTML bruto; e esse HTML podia criar um frame sem sandbox que herdava a identidade do ChatGPT, contornando o recurso isolado Preview.

Linha do tempo

• 18 de outubro de 2026 — reportado pelo programa de bug bounty da OpenAI.
• A OpenAI reproduziu a falha e elevou a gravidade de P2 para P1, sua categoria mais séria.
• 26 de outubro — correção aplicada; a Parameter publicou a análise em 28 de outubro.

A Parameter não relata exploração real; a prova foi feita entre contas próprias. Os usuários não precisam fazer nada — a correção é do lado da OpenAI.