Un enlace compartido podía comprometer una cuenta de ChatGPT
Un enlace público de ChatGPT podía convertirse en una puerta de entrada a la cuenta de quien lo abría. Así lo descubrió Parameter Labs en octubre de 2026, al identificar una vulnerabilidad que permitía ejecutar código JavaScript dentro de una sesión iniciada de ChatGPT.
El problema estaba en la interacción entre varias funciones de la plataforma. Una conversación preparada por un atacante y compartida mediante la herramienta habitual de ChatGPT podía activar una cadena de fallos que terminaba dando acceso a información privada.
En su informe Do the Math: How We Took Over ChatGPT Accounts, publicado el 28 de octubre, Parameter Labs explicó cómo se combinaban estas funciones y qué consecuencias podía tener el ataque.
OpenAI recibió el reporte, elevó su prioridad después de reproducir el problema y confirmó su resolución el 26 de octubre de 2026.
Cómo se combinaban las funciones para ejecutar código
La vulnerabilidad aprovechaba la interacción entre dos componentes de ChatGPT: una biblioteca llamada MathLive, utilizada en gráficos, y la función Vista previa HTML, que permite mostrar contenido interactivo dentro de un espacio aislado.
MathLive incorporaba un sistema para recibir mensajes relacionados con su teclado virtual. El problema era que ese sistema aceptaba mensajes sin comprobar adecuadamente qué ventana los enviaba.
La Vista previa HTML podía comunicarse con ese receptor y provocar que contenido HTML terminara insertándose directamente en la página principal de ChatGPT.
Esto rompía una separación de seguridad importante: contenido procedente de un espacio aislado podía llegar a ejecutarse con los permisos de la página principal, bajo la identidad de chatgpt.com.
ChatGPT también contaba con una política de seguridad de contenido, conocida como CSP, que restringía la ejecución de determinados scripts. Sin embargo, una excepción que permitía recursos de YouTube, combinada con el comportamiento de su servicio oEmbed, hizo posible completar la ejecución de JavaScript.
La combinación de estos elementos convirtió un enlace compartido en un posible mecanismo para actuar dentro de la sesión de otra persona.
Qué información podía obtener un atacante
Las consecuencias iban más allá de mostrar contenido no deseado.
Según Parameter Labs, una vez que el código se ejecutaba con los permisos de chatgpt.com, podía acceder a funciones de la cuenta de la víctima.
Entre las capacidades demostradas estaban:
- Obtener la lista de conversaciones de la cuenta.
- Leer el contenido de una conversación privada que nunca se había compartido con el atacante.
- Enviar información obtenida a un servidor externo.
- Realizar acciones en nombre del usuario aprovechando su sesión iniciada.
Uno de los aspectos más importantes era la poca interacción necesaria por parte de la víctima.
En la reproducción más estable del problema, bastaba con abrir el enlace compartido y pulsar el botón Vista previa. Parameter Labs también desarrolló una variante automática en la que era suficiente abrir el enlace.
El ataque no requería instalar aplicaciones, incorporarse a proyectos, pegar código ni utilizar las herramientas de desarrollador del navegador.
OpenAI corrigió el problema tras recibir el reporte
El informe de Parameter Labs detalla una cronología de descubrimiento, comunicación y corrección que transcurrió durante octubre de 2026.
- 13 de octubre: los investigadores confirmaron que era posible pasar contenido desde MathLive hasta la página HTML principal de ChatGPT.
- 18 de octubre: Parameter Labs presentó el informe a través del programa de recompensas por vulnerabilidades de OpenAI.
- 21 de octubre: OpenAI reprodujo el problema y elevó su prioridad de P2 a P1.
- 26 de octubre: OpenAI confirmó que sus dos versiones del frontend ya rechazaban los mensajes utilizados en el ataque y dio el caso por resuelto.
La recompensa total concedida por el hallazgo fue de 5.000 dólares.
Simon Willison, que reseñó el informe el 31 de octubre de 2026, comentó que esa cantidad le parecía baja para una vulnerabilidad así de grave.
Las lecciones de seguridad que deja el descubrimiento
Parameter Labs también identificó varias medidas de diseño importantes a partir del fallo.
La primera es que los sistemas de comunicación entre ventanas deben comprobar tanto la dirección web de origen como la ventana exacta autorizada para enviar mensajes.
También destacó que los ajustes intercambiados entre ventanas no deberían incluir HTML sin procesar, ya que ese contenido puede terminar afectando a partes más sensibles de una aplicación.
Otra conclusión es que los documentos creados dinámicamente deben mantener su aislamiento cuando reciben contenido procedente de un marco que no es confiable.
Por último, los investigadores señalaron que las políticas CSP deben utilizarse como una protección adicional, en lugar de depender de ellas como única barrera frente a la ejecución de código.
El caso muestra cómo distintas funciones que forman parte de una misma aplicación pueden generar una vulnerabilidad grave cuando sus mecanismos de comunicación y aislamiento interactúan de manera insegura.
En contexto
La función Vista previa de ChatGPT, anteriormente llamada Canvas, permite mostrar aplicaciones HTML interactivas dentro de un iframe aislado. Por su parte, la herramienta para compartir conversaciones genera enlaces públicos que utilizan la ruta /share/.
