LONDON (IT BOLTWISE) – Ein bösartiger ChatGPT-Share-Link konnte in der Sitzung des Opfers Code ausführen und private Konversationen auslesen. Laut Sicherheitsforschung betraf der Angriff besonders das Öffnen des Links und den Einsatz der ChatGPT-Preview-Funktion. Dabei reichte der reine Browserzugriff: Opfer mussten nichts installieren oder zusätzliche Anmeldeschritte ausführen. OpenAI schloss die Lücke nach einer Meldung im Bug-Bounty-Programm nach acht Tagen und stufte den Vorfall als P1 ein.
Wer einen ChatGPT-Chat über einen öffentlichen Link teilt, erwartet vor allem eins: Dass der Inhalt sichtbar wird, aber nichts „Gefährliches“ im Hintergrund passiert. Genau diese Annahme ist jedoch in einem konkreten Angriffsszenario gekippt worden. Sicherheitsforscher von Parameter beschreiben, wie ein normal aussehender Shared-Chat-Link fremden Code im eingeloggten Kontext anderer Nutzer ausführen konnte. Der Clou: Es musste keine Installation erfolgen, kein Workspace-Beitritt war nötig und auch ein zusätzlicher Login über den Angreifer war nicht erforderlich – allein das Öffnen des Links reichte.
Technisch setzt der Angriff an zwei Stellen an, die zusammen eine Sicherheitsgrenze überbrücken. Die Forscher berichten, dass ChatGPT eine Preview-Funktion besitzt: Wird in einem Chat bestimmtes HTML oder bestimmte Inhalte eingebettet, kann ChatGPT daraus eine kleine Webdarstellung erzeugen. Diese Darstellung läuft laut Beschreibung in einem „sandboxed“ Rahmen auf einer separaten Adresse, wodurch der Preview-Code eigentlich nicht auf die umgebende Seite zugreifen können sollte. Die zweite Komponente des Shared-Chats war eine interaktive Grafik, die beim Laden in der Hauptseite eine MathLive-Bibliothek nachzieht. Diese Bibliothek registrierte anschließend einen Listener, der Nachrichten über die Tastatureingabe austauschte – und genau dieser Listener stellte offenbar keine ausreichende Verifikation an, um sicherzustellen, von welchem Frame eine Nachricht tatsächlich kam.
Damit wurde aus einer scheinbar isolierten Preview ein Kanal für das Überschreiben von Daten und das Nachladen von Elementen, die im vertrauenswürdigen Identitätskontext agieren konnten. Laut Parameter konnte der Listener Tastatur-Nachrichten von beliebigen Absendern akzeptieren; zudem durfte die Nachricht Roh-HTML transportieren. Aus dieser Kette heraus konnte die Preview dann HTML in den „trusted main page“-Kontext reichen und einen neuen Frame erzeugen, den der Browser als Teil von chatgpt.com behandelte. Entscheidend war außerdem, dass die Content-Security-Policy (CSP) für die Ausführung von Skripten nur Inline-Code blockierte, aber Skripte von Drittquellen wie YouTube zuließ. In der Angriffsausprägung lieferte genau dieser letzte Schritt den benötigten Code in den frisch eingebundenen Kontext.
Für die Wirkung im Zielsystem nennen die Forscher mehrere Schritte, die nicht nur die sichtbaren Chat-Inhalte betrafen, sondern echte Aktionen auf dem Konto ermöglichten. Der Angreifer-Code lief demnach in der Session des Opfers mit denselben Rechten wie die legitime ChatGPT-Weboberfläche. Er konnte eine Liste der jüngsten Konversationen anzeigen, anschließend einen privaten Chat öffnen, der zu diesem Zeitpunkt noch nie mit dem Angreifer geteilt worden war, und einen kleinen Ausschnitt davon an einen Server unter Kontrolle der Forscher senden. Wichtig ist dabei die Art der Ausführung: Der Code griff direkt auf die signierten, eingeloggten APIs von ChatGPT zu, statt lediglich „abzuscrapen“, was gerade auf dem Bildschirm stand. Entsprechend formulieren die Forscher den Kern der Bedrohung sinngemäß so, dass sie im Wesentlichen jede Aktion im Namen des Opfers ausführen konnten – in einem kontrollierten Test, nicht in realen Angriffen.
Der Angriff war nicht zwingend an eine einzige Nutzerinteraktion gebunden, sondern hatte zwei dokumentierte Varianten. In der zuverlässigsten Ausprägung öffnete das Opfer den Link und klickte einmal auf die ChatGPT-Preview-Schaltfläche. In einer späteren Version setzten die Forscher die Seite so auf, dass die Preview automatisch geöffnet wurde; dann bestand der entscheidende Schritt nur noch im normalen Link-Öffnen. Parameter berichtet dabei ausdrücklich, dass kein realer Missbrauch der Schwachstelle beobachtet wurde. Die Proof-of-Concept-Prüfung lief als kontrollierter Nachweis zwischen getrennten Accounts, damit sich die Sicherheitsannahme „kein echtes Live-Ziel“ nachvollziehen lässt.
OpenAI veröffentlichte die Behebung in zeitnaher Abfolge, nachdem die Schwachstelle am 18. Oktober über das Bug-Bounty-Programm gemeldet wurde; acht Tage später sei der Fix ausgerollt gewesen. In der Einschätzung stufte OpenAI die Lücke als P1 ein, also in die jeweils ernsteste Kategorie. Laut Parameter reproduzierte OpenAI sowohl die Codeausführung als auch den Nachweis zum privaten Chat und passte die Bewertung von P2 auf P1 an. Bis zum 26. Oktober hätten beide getesteten Frontend-Varianten Nachrichten abgelehnt, die auf die zuvor problematische Zustands- und Nachrichtenkette setzten.
Für Nutzer ist die wichtigste Aussage dabei eher beruhigend: Parameter betont, dass Anwender nichts installieren und auch nichts zurücksetzen müssen. Der Fix liegt auf der Seite von OpenAI; ein Fehlkonfigurations- oder „User-does-thing“-Trigger war nicht erforderlich. Trotzdem zeigt der Fall, wie schnell sich einzelne Designentscheidungen zu einer Kettenwirkung addieren können: Eine Grafik-Komponente brachte MathLive in die Hauptseite, ein Listener akzeptierte Nachrichten ohne Absenderprüfung, das Nachrichtentransportformat erlaubte Roh-HTML, und eine CSP-Policy ließ einen Drittanbieter-Ausführungsweg offen. Zusammengenommen erklärt das, warum selbst ein eigentlich „gesandboxter“ Preview-Mechanismus in der Praxis gefährlich werden kann, sobald Trust-Grenzen in der Kommunikation zwischen Browser-Frames nicht sauber verifiziert werden.
Unternehmen und Entwickler sollten die Geschichte weniger als Einzelvorfall betrachten, sondern als Lehrstück über Web-Sandboxing, Frame-Kommunikation und API-Rechtevergabe. Gerade KI-Chat-Anwendungen, die interaktive Vorschauen, eingebettete Inhalte und signierte Backend-Aufrufe kombinieren, müssen besonders hart prüfen, welche Daten aus welchen Frames stammen und welche Policy-Regeln in jedem Ausführungskontext gelten. Wenn eine Komponente – etwa eine Tastatur-/Editing-Bibliothek – als Nebenwirkung Roh-HTML in Nachrichtenkanäle einschleusen kann, verschiebt sich das Risiko schnell vom „UI-Fehler“ hin zu kontoweiten Konsequenzen. Der Parameter-Bericht liefert damit eine konkrete Blaupause, welche Sicherheitsprüfungen in ähnlichen Architekturen priorisiert werden sollten.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ChatGPT-Preview-Link konnte Code ausführen und private Chats auslesen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ChatGPT-Preview-Link konnte Code ausführen und private Chats auslesen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ChatGPT-Preview-Link konnte Code ausführen und private Chats auslesen« bei Google Deutschland suchen, bei Bing oder Google News!