Jaettu ChatGPT-linkki pystyi lukemaan yksityisiä keskusteluja
Tietoturvayhtiö Parameter osoitti lokakuussa, että tavallinen jaettu ChatGPT-keskustelu voi toimia hyökkäyksen välineenä: kun kirjautunut käyttäjä avasi linkin, hyökkääjän koodi käynnistyi hänen omassa istunnossaan ja pystyi lukemaan yksityisiä keskusteluja. OpenAI korjasi virheen 26. lokakuuta ja luokitteli sen vakavimpaan P1-luokkaan. Yhtiön mukaan virhettä ei ole käytetty oikeita käyttäjiä vastaan.
Kuva: Jernej Furman, Wikimedia Commons, CC BY 2.0
Tietoturvayhtiö Parameter osoitti lokakuussa, että tavallinen jaettu ChatGPT-keskustelu voi toimia hyökkäyksen välineenä: kun kirjautunut käyttäjä avasi linkin, hyökkääjän koodi käynnistyi hänen omassa istunnossaan ja pystyi lukemaan yksityisiä keskusteluja. OpenAI korjasi virheen 26. lokakuuta ja luokitteli sen vakavimpaan P1-luokkaan. Yhtiön mukaan virhettä ei ole käytetty oikeita käyttäjiä vastaan.
Yksi Preview-painallus riitti
Hyökkäys alkoi tavallisesta jakolinkistä, jonka saattoi lähettää sähköpostissa, viestissä, tukipyynnössä tai sosiaalisessa mediassa. Uhrin ei tarvinnut asentaa mitään eikä kirjautua mihinkään uuteen. Luotettavimmassa versiossa riitti, että hän avasi linkin ja painoi ChatGPT:n Preview-painiketta kerran; myöhemmässä versiossa esikatselu avautui itsestään, jolloin pelkkä linkin avaaminen riitti.
Kun sivu latautui, hyökkääjän koodi toimi uhrin kirjautuneessa istunnossa samoin oikeuksin kuin ChatGPT:n oma sivusto. Se listasi uhrin viimeisimmät keskustelut, avasi yksityisen keskustelun, jota ei ollut koskaan jaettu kenellekään, ja lähetti siitä pienen osan tutkijoiden palvelimelle. Parameterin mukaan koodi olisi voinut tehdä käytännössä mitä tahansa uhrin ChatGPT-tilillä.
Matematiikkakirjasto kuunteli väärää lähettäjää
ChatGPT osaa muuttaa keskustelussa olevan HTML-koodin pieneksi verkkosivuksi Preview-toiminnolla. Koska sivu voi sisältää mitä tahansa koodia, ChatGPT ajaa sen eristetyssä hiekkalaatikossa eri verkko-osoitteessa, josta käsin se ei näe ympäröivää ChatGPT-sivua. Tämä eristys piti.
Tie sisään löytyi saman keskustelun toisesta ominaisuudesta. Jaetussa keskustelussa oli interaktiivinen kuvaaja, jonka piirtäminen latasi pääsivulle MathLive-nimisen matematiikkakirjaston. Kirjasto jätti sivuun kuuntelijan, joka otti vastaan viestejä sen näppäimistöstä. Selaimen kehysten väliset viestit ovat turvallisia vain, jos vastaanottaja tarkistaa, kuka viestin lähetti. Parameter havaitsi, että tämä kuuntelija hyväksyi viestin keneltä tahansa ja että viesti sai sisältää raakaa HTML:ää.
Kehys peri chatgpt.comin identiteetin
Näin esikatselu pystyi ojentamaan hyökkääjän HTML:ää luotetulle pääsivulle. HTML rakensi uuden kehyksen, jota selain kohteli osana chatgpt.comia, ja YouTubesta ladattu skripti toimitti varsinaisen koodin. ChatGPT:n sisältöturvakäytäntö esti rivinsisäisen koodin mutta salli skriptit YouTubesta, minkä vuoksi tuo viimeinen askel toimi.
Parameterin mukaan YouTube ei ollut syy vaan viimeinen kiertotie. Pelkän YouTube-lähteen estäminen ei olisi korjannut ongelmaa, koska epäluotettu esikatselu olisi voinut työntää HTML:ää pääsivulle muutenkin. Varsinainen vika oli kolmen suunnitteluratkaisun yhteisvaikutus: tarkistamaton viestikuuntelija, HTML:n salliminen näppäimistöasettelun tietona ja kehys ilman hiekkalaatikkoa, joka peri sivuston identiteetin.
OpenAI korjasi kahdeksassa päivässä ja maksoi 5 000 dollaria
Parameter ilmoitti virheestä OpenAI:n virheidenpalkkio-ohjelman kautta 18. lokakuuta. OpenAI toisti sekä koodin suorituksen että yksityisen keskustelun lukemisen, nosti vakavuusluokan P2:sta P1:een ja julkaisi korjauksen kahteen ChatGPT:n verkkokäyttöliittymän versioon. 26. lokakuuta mennessä molemmat versiot hylkäsivät hyökkäyksen tarvitsemat viestit. Yhtiö maksoi raportista yhteensä 5 000 dollaria.
Käyttäjillä ei ole korjauksen suhteen tehtävää: muutos tehtiin OpenAI:n päässä, eikä mitään tarvitse asentaa tai nollata. Parameter julkaisi oman kirjoituksensa 28. lokakuuta korjauksen jälkeen, eikä se raportoi havainneensa virhettä oikeiden käyttäjien kohdalla – yksityisen keskustelun luku todistettiin kahden eri testitilin välillä.
Jaettu linkki on aina julkinen linkki
Tapaus ei kerro kielimallien turvallisuudesta vaan siitä, miten monimutkaisia nykyaikaiset verkkosovellukset ovat. Sama sivu lataa kerrallaan useita ulkopuolisia kirjastoja, upotuksia ja kehyksiä, ja yksikin tarkistamatta jäänyt viestikanava voi rikkoa eristyksen. Vastaavia ketjuja on löydetty viime kuukausina myös muista chatboteista.
Käytännön ohje on yksinkertainen: jaettu keskustelulinkki kannattaa kohdella julkisena sivuna, ja odottamatta saapunutta ChatGPT-linkkiä ei pidä avata. Jos linkin lähettäjä ei ole tuttu tai linkki tulee yllättäen, sen voi jättää avaamatta ilman että menettää mitään. Kyberturvallisuuden kannalta olennaista on myös, että tilit suojataan vahvalla tunnistautumisella, koska istunnon kaappaus antaisi hyökkääjälle samat oikeudet kuin käyttäjälle itselleen.
Lähteet
- Parameter: We found a gap at OpenAI, 28.10.2026
- The Hacker News: A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private Chats, 31.10.2026
- Ostorlab: ChatGPT Shared-Link Account Takeover via MathLive Sandbox Escape, 31.10.2026
- DEV Community: A ChatGPT Share Link Could Run Code Through MathLive – MathLive 0.111.2 Now Checks Origins, 31.10.2026
- The420: ChatGPT Shared-Link Flaw Exposed Private Chats Before OpenAI Fix, 31.10.2026
- DigitBin: ChatGPT Shared Link Flaw Could Expose Private Chats, 31.10.2026
Vastuuvapauslauseke: Tämä artikkeli on tarkoitettu vain tiedotustarkoituksiin. Sitä ei tarjota tai ole tarkoitettu käytettäväksi oikeudellisena, verotuksellisena, sijoitus-, rahoitus- tai muuna neuvona.
Mainos: alla on kumppanimainoksia ja mainoslinkkejä.
