Ein einfacher Klick auf einen manipulierten, scheinbar harmlosen Share-Link genügte, um ein fremdes ChatGPT-Konto komplett auszuhebeln. Der Sicherheitsforscher Mukul Goyal vom Analysehaus Parameter Labs dokumentierte eine Exploit-Kette, die es Angreifern ermöglichte, Sitzungen authentifizierter Nutzer auf der Domain chatgpt.com zu kapern. OpenAI stufte die gemeldete Schwachstelle intern in die höchste Prioritätskategorie P1 ein, schloss das Sicherheitsleck am 26. Oktober 2026 und zahlte im Rahmen seines Bug-Bounty-Programms eine Belohnung von 5.000 US-Dollar aus.
Im Zentrum des Angriffs stand die interaktive HTML-Previews-Funktion von ChatGPT. Diese Komponente soll es Anwendern und Entwicklern ermöglichen, formatierte Inhalte, visuelle Elemente und mathematische Notationen direkt im Browserfenster zu betrachten. Für das Rendern mathematischer Formeln setzte OpenAI auf die weit verbreitete Open-Source-Bibliothek MathLive. Die Forscher stellten fest, dass diese Bibliothek aktiv auf browserbasierte postMessage-Ereignisse lauschte und empfangene Daten über die fehleranfällige Eigenschaft innerHTML in das Dokument einfügte, was die erste Angriffsfläche für Cross-Site-Scripting schuf.
Das bestehende Sicherheitskonzept sah eigentlich vor, potenziell bösartigen Code innerhalb eines isolierten Sandboxed-iframes gefangen zu halten. Ein Ausbrechen in die übergeordnete Applikation sollte durch eine strikte Content Security Policy verhindert werden. Goyal fand jedoch eine Lücke in den Restriktionen: Durch das Ausnutzen einer YouTube-oEmbed-Bypass-Methode gelang es ihm, die bestehenden Content-Security-Policy-Direktiven gezielt zu umgehen und Code über die Grenzen der Sandbox hinweg zu transportieren.
Durch die erfolgreiche Verkettung dieser Schwachstellen wurde der bösartige JavaScript-Code nicht isoliert ausgeführt, sondern direkt im authentifizierten Kontext der regulären Nutzersitzung auf chatgpt.com. Sobald ein Opfer den präparierten Freigabelink öffnete, erlangte der Exploit vollen Zugriff auf das Document Object Model. Angreifer waren dadurch in der Lage, im Hintergrund private Chatverläufe aufzulisten, vertrauliche Gesprächsinhalte an externe Server abfließen zu lassen und eigenständig neue Prompts im Namen des betroffenen Nutzers zu starten.
Der Vorfall verdeutlicht die wachsenden Sicherheitsrisiken, die mit modernen, reichhaltigen Benutzeroberflächen für KI-Modelle einhergehen. Während Sprachmodelle früher lediglich statischen Text zurückgaben, integrieren moderne Plattformen zunehmend komplexe Skripte, Rendering-Engines und interaktive Komponenten von Drittanbietern. Das Teilen von Konversationen zählt zu den elementaren Funktionen von ChatGPT, weshalb Schwachstellen in dieser Schnittstelle besonders schwer wiegen. Auch wenn OpenAI die Lücke rasch behoben hat, bleibt die vollständige Kapselung dynamischer Web-Inhalte eine der größten technischen Herausforderungen für KI-Anbieter.