Un lien ChatGPT partagé pouvait lire les conversations privées

Un lien de conversation ChatGPT partagé pouvait, jusqu'au correctif d'OpenAI du 26 octobre 2026, exécuter le code d'un attaquant dans la session de la personne qui l'ouvrait et lire ses discussions privées. La société de sécurité Parameter a signalé le défaut le 18 octobre via le programme de bug bounty. OpenAI l'a noté P1, sa catégorie la plus grave, l'a corrigé huit jours plus tard et a versé 5 000 dollars. The Hacker News a publié le récit le 31 octobre. Parameter ne rapporte aucun usage réel hors de son test.

Le piège ressemblait à n'importe quel lien de conversation partagée, envoyé par courriel, dans un chat ou sur un réseau social. Dans la version la plus fiable décrite par Parameter, la victime ouvrait le lien et cliquait une fois sur le bouton Aperçu. Une variante ultérieure ouvrait cet aperçu toute seule. Il n'y avait rien à installer, pas de nouvel espace de travail, pas de connexion via le compte de l'attaquant. Le test a été mené entre des comptes de Parameter, pas contre des utilisateurs réels.

« Essentially, we could perform any action on behalf of the victim's ChatGPT account. »

Les chercheurs de Parameter, cités par The Hacker News. La phrase décrit ce que leur preuve contrôlée permettait, pas une campagne observée.

Que pouvait faire le lien ChatGPT ?

Une fois la page ouverte, le code appelait les interfaces déjà authentifiées de ChatGPT, avec les mêmes droits que le site lui-même. Il listait les conversations récentes, ouvrait une discussion privée qui n'avait jamais été partagée, et en envoyait un extrait vers un serveur des chercheurs. Ce n'était pas une copie de ce qui se trouvait à l'écran : c'était un appel à l'API du compte. Parameter en déduit que d'autres actions du compte étaient à portée. OpenAI a reproduit l'exécution de code et la lecture d'une conversation privée, puis a relevé la sévérité de P2 à P1.

Le bac à sable de l'aperçu, qui affiche du HTML dans un cadre séparé, a tenu. L'ouverture est venue d'un second élément de la même conversation : un graphique chargeait la bibliothèque MathLive dans la page principale, et un écouteur acceptait des messages de n'importe quel cadre, y compris du HTML brut. Ce HTML créait un cadre traité comme faisant partie de chatgpt.com. Un script hébergé sur un domaine déjà autorisé par la politique de sécurité de la page fournissait ensuite le code. OpenAI a fermé la porte en refusant ces messages, sur deux versions de l'interface web, au 26 octobre 2026. Bloquer seulement le domaine du script aurait laissé le HTML traverser.

Faut-il changer un mot de passe ChatGPT ?

Pas sur la base de ce rapport. Parameter ne dit pas avoir trouvé d'exploitation hors de son essai, et le correctif ne suppose pas que des sessions aient été volées dans la nature. Changer un mot de passe protège d'autres risques — réutilisation, hameçonnage — mais ce n'est pas la parade décrite pour ce défaut-là. Les connecteurs qui relient ChatGPT à iCloud Mail et au calendrier sont un sujet voisin : plus un compte peut lire de boîtes, plus une session détournée verrait de choses. Ce lien-là ne les concernait pas spécifiquement.

La leçon utile est ailleurs. Une conversation partagée n'est pas un document inerte : l'aperçu exécute du contenu. Le correctif d'octobre ferme la chaîne décrite. Il ne transforme pas chaque futur lien en objet inoffensif si une autre combinaison de fonctions ouvre un passage du même genre. OpenAI n'a pas, dans le récit de The Hacker News, publié une liste de comptes touchés, parce que le travail de Parameter n'en a pas produit.

Source

Article de Swati Khandelwal sur The Hacker News, le 31 octobre 2026, lu intégralement. Il rapporte la note de Parameter, le calendrier du 18 au 26 octobre et le montant de 5 000 dollars. La page primaire de Parameter n'était pas liée dans l'article lu.