Un enlace compartido de ChatGPT podía ejecutar código y leer tus chats privados

La empresa de seguridad Parameter publicó el 28 de octubre los detalles de una vulnerabilidad en ChatGPT que permitía, a partir de un enlace de conversación compartida, ejecutar código del atacante dentro de la sesión de otra persona. Según su informe, lo comunicaron a OpenAI el 18 de octubre a través del programa de recompensas por errores de la compañía, y OpenAI confirmó el 26 de octubre que las dos versiones de la interfaz web rechazaban ya los mensajes del ataque. The Hacker News añade que OpenAI acabó clasificando el fallo como P1, su categoría más grave, aunque en un principio lo había calificado como P2, y que pagó 5.000 dólares en total.

El ataque partía de algo cotidiano: un enlace público de ChatGPT, de los que se generan con la opción de compartir una conversación. Un atacante podía enviarlo por correo, mensaje, un ticket de soporte o una red social. Según Parameter, abrir el enlace era la única acción obligatoria; en la versión más estable de la prueba la víctima además pulsaba una vez el botón de vista previa, y en una versión posterior el ataque se disparaba al navegar a la página sin más. No hacía falta instalar nada ni iniciar sesión a través del atacante, pero sí que la víctima tuviera ChatGPT abierto con su cuenta.

El fallo no era uno solo, sino tres encadenados. Primero, una conversación compartida con un gráfico interactivo carga MathLive, una librería para escribir fórmulas matemáticas, que escucha mensajes enviados entre partes de la página sin comprobar quién los manda. Segundo, esos mensajes podían llevar código HTML disfrazado de datos de distribución de teclado, y la librería lo insertaba tal cual en la página. Tercero, ese HTML creaba un marco (un recuadro incrustado en la web) sin las restricciones de seguridad habituales, que heredaba la identidad de chatgpt.com. Dentro de ese marco el atacante necesitaba ejecutar un script: la política de seguridad de ChatGPT bloqueaba los scripts escritos directamente en la página, pero permitía cargar contenido de YouTube, y Parameter usó un servicio de YouTube para colar el código. Según el informe, bloquear solo ese último paso no habría solucionado el problema de fondo.

Con ese código funcionando como si fuera la propia web de ChatGPT, los investigadores pudieron leer el token de la sesión, listar las conversaciones recientes de la víctima, abrir una conversación privada que nunca se había compartido y enviar una pequeña parte de su contenido a un servidor que ellos controlaban. Parameter sostiene que, como el código llamaba a las mismas funciones internas que usa la web, el alcance no se limitaba a los chats visibles. Esa última afirmación es una deducción de los investigadores; en el informe solo demuestran la lectura de conversaciones y el envío de un valor pequeño.

Conviene ponerlo en proporción. Parameter no informa de ninguna explotación real: la prueba con un chat privado se hizo entre cuentas de prueba, no contra usuarios reales. El ataque dependía además de una coincidencia de tiempos que se resolvía con reintentos y del comportamiento concreto de MathLive, del servicio de YouTube y de la política de seguridad vigente entonces. Y el informe no aclara si la corrección en dos fases, con una solución parcial el 22 de octubre y cambios en la política de seguridad el 23, cubre cualquier variante posible. Lo que sí está claro es que la solución está en los servidores de OpenAI.

Según The Hacker News, los usuarios de ChatGPT no tienen que hacer nada: no hay nada que instalar ni contraseña que cambiar. Aun así, el caso ilustra un riesgo real de las funciones que mezclan contenido de otras personas con tu cuenta. Un enlace compartido no es una simple foto del chat: puede incluir elementos interactivos que se ejecutan en tu navegador. Si recibes enlaces de conversaciones de desconocidos, trátalos con la misma prudencia que cualquier otro enlace que llega por correo o por mensaje.