OpenAI corrige une faille qui exposait les données ChatGPT

Parameter Labs a découvert une chaîne d’attaque visant les aperçus HTML de ChatGPT. Simon Willison l’a décrite le 31 octobre 2026. Ces aperçus affichent des applications HTML interactives dans une iframe isolée. Leur isolation doit empêcher du code non fiable d’accéder aux interfaces de programmation d’OpenAI et aux données privées. Parameter Labs a toutefois combiné plusieurs comportements pour contourner cette séparation. L’attaque permettait finalement de créer une URL de partage ChatGPT malveillante. Lorsqu’un autre utilisateur connecté la consultait, cette URL pouvait exfiltrer ses données privées. Elle pouvait aussi permettre des actions effectuées en son nom. Lire l’analyse de Simon Willison.

La faille concernait l’implémentation du modèle des artifacts, auparavant appelé Canvas par OpenAI. La version décrite utilise le nom HTML previews. OpenAI intègre la bibliothèque JavaScript MathLive pour gérer des graphiques. Cette bibliothèque possède un clavier virtuel déclenchable depuis la page parente avec postMessage(). Le code qui reçoit ce message utilise innerHTML pour insérer du contenu HTML. Aucun mécanisme n’empêchait d’autres cadres isolés d’appeler cette méthode. Un aperçu HTML pouvait donc injecter du HTML dans la page parente. La propriété innerHTML n’exécute pas directement les éléments script. Elle pouvait toutefois servir à ajouter une nouvelle iframe sans restrictions de bac à sable.

Parameter Labs contourne le bac à sable

La politique CSP bloquait les scripts intégrés directement dans la page. Elle autorisait toutefois le chargement de scripts depuis quelques domaines. YouTube figurait parmi ces domaines autorisés. Parameter Labs a utilisé le point de terminaison oEmbed de YouTube pour réfléchir du JavaScript vers la page. Cette technique permettait alors d’exécuter du JavaScript dans ChatGPT. Une fois cette exécution obtenue, l’attaque pouvait interroger des interfaces de programmation contenant des données privées. Elle pouvait ensuite les exfiltrer avec une référence d’image. La chaîne associait donc un message accepté par MathLive, une injection HTML, une iframe non isolée et un mécanisme d’exécution autorisé par la politique CSP.

L’URL de partage constituait le dernier maillon de l’attaque. Un utilisateur connecté pouvait recevoir ou ouvrir cette URL dans ChatGPT. Le code exécuté pouvait alors récupérer des données privées depuis les interfaces de programmation. Il pouvait aussi effectuer des actions au nom de cet utilisateur. Le scénario ne reposait donc pas seulement sur l’affichage d’un contenu HTML malveillant. Il transformait cet affichage en accès aux capacités privées du compte. Simon Willison qualifie la prise de contrôle de comptes dans le titre de son article. Son analyse précise que l’exfiltration devenait possible après l’obtention de l’exécution JavaScript dans ChatGPT. Consulter l’article original.

OpenAI a fermé cette faille après sa découverte par Parameter Labs. L’entreprise a également versé une prime de 5 000 dollars. Simon Willison estime que ce montant était faible pour une vulnérabilité de cette gravité. La chaîne décrite touche plusieurs contrôles successifs. Elle exploite d’abord un message provenant d’une iframe isolée. Elle injecte ensuite du contenu HTML avec innerHTML. Elle ajoute enfin une iframe sans restrictions, avant d’utiliser un domaine autorisé par la politique CSP. Le résultat permettait d’exfiltrer des données privées ou d’agir au nom d’un utilisateur connecté. La correction d’OpenAI met fin à l’exploitation décrite dans l’article.