Pesquisadores da Parameter Labs mostram cadeia de ataque que permitiria tomar contas do ChatGPT

A cadeia descrita pela Parameter Labs atinge o recurso de artifacts do ChatGPT, que a OpenAI chamava de Canvas e que agora aparece como HTML Previews. Ali, apps HTML interativos rodam em um iframe com sandbox. Se esse isolamento falha, código não confiável passa a falar com as APIs da OpenAI e a alcançar dados privados.

O ponto de entrada é o MathLive, biblioteca JavaScript usada no suporte a gráficos. Ela traz um teclado virtual próprio, acionável na página pai via postMessage() a partir do iframe isolado. O código que recebe a mensagem usa innerHTML, e nada impedia outros frames, incluindo os de HTML Preview, de chamar esse método. Com isso, o código do iframe inseria HTML na página pai e podia injetar um novo iframe sem as restrições de sandbox. A CSP da OpenAI bloqueava scripts inline e liberava só alguns domínios, e um deles era o YouTube. O endpoint oEmbed do YouTube refletia JavaScript de um jeito que permitia a execução. Com JavaScript rodando no contexto do ChatGPT, o roubo de dados via APIs e a exfiltração por referência de imagem eram triviais.

Em 2 de novembro de 2026, o CEVIU noticiou "Pesquisadores encontram falha que permitia assumir contas do ChatGPT com apenas um link", que já descrevia a combinação do teclado do MathLive com o HTML Preview para escapar do sandbox. A cobertura de agora acrescenta o restante da cadeia: o uso de innerHTML para injetar um iframe sem sandbox, o desvio da CSP pelo YouTube e o endpoint oEmbed, a exfiltração por imagem e o fato de a OpenAI ter corrigido a falha e pago uma recompensa de 5.000 dólares.

Para quem opera ou audita produtos com conteúdo gerado por usuário ou por IA, o caso mostra que sandbox e CSP sozinhos não bastam. Um componente de terceiros com canal postMessage mal validado, somado a um domínio permitido na allowlist, abriu o caminho. Vale revisar quais origens a CSP libera e quais mensagens entre frames são aceitas. A fonte indica que a OpenAI já fechou a brecha.