Apa yang terjadi
Parameter Labs mengungkapkan (2026-10-28, dinaikkan dari P2→P1 setelah OpenAI mereproduksi) bahwa tautan berbagi ChatGPT publik dapat menjalankan JavaScript yang dikendalikan penyerang dalam sesi yang masuk dari siapa pun yang membukanya dan mengklik Preview sekali — atau dalam varian berikutnya hanya dengan membuka tautan. Bingkai Preview yang di-sandbox berfungsi dengan baik; eskapenya datang melalui pendengar pesan lintas-frame MathLive di halaman utama chatgpt.com ditambah iframe yang tidak di-sandbox dan bypass CSP berbasis YouTube. OpenAI memperbaiki dua versi frontend dan memberikan hadiah $5.000; tidak ada eksploitasi dunia nyata yang dilaporkan.
Mengapa penting
ChatGPT adalah produk AI yang paling banyak digunakan, dan tautan percakapan bersama rutin ditempel ke email, tiket, dan obrolan di mana penerima memperlakukan URL chatgpt.com sebagai tepercaya. Rantai eksploit mengubah tautan berbagi biasa menjadi pengambilalihan akun terautentikasi dan eksfiltrasi percakapan pribadi — permukaan serangan sisi klien yang tidak dapat dihentikan oleh kontrol perimeter, dan pola (postMessage yang tidak divalidasi + CSP permisif + konten tidak tepercaya yang kaya di samping token pembawa) yang kemungkinan berulang di platform obrolan/agen AI lainnya.
Vektor serangan
Escape sandbox XSS tersimpan/sisi klien yang dikirim melalui tautan berbagi ChatGPT normal. Percakapan jahat yang berisi grafik interaktif memuat pustaka pihak ketiga MathLive, yang pendengar postMessage keyboard virtualnya menerima pesan dari asal mana pun dan menulis HTML penyerang ke halaman chatgpt.com yang tepercaya melalui innerHTML; HTML yang disuntikkan membuat iframe yang tidak di-sandbox mewarisi asal chatgpt.com, dan daftar izin CSP yang menyertakan YouTube digunakan untuk memantulkan JavaScript yang dapat dieksekusi. Skrip penyerang kemudian membaca token akses sesi dari DOM dan memanggil API ChatGPT yang terautentikasi.
Sistem yang terdampak
Frontend web ChatGPT (fitur HTML Preview / Canvas artifacts); akar penyebabnya adalah pendengar postMessage lintas-frame pustaka input matematika MathLive ditambah CSP yang permisif
Mitigasi
Ditambal/diperbaiki oleh OpenAI pada 2026-10-26 di dua versi frontend yang terpengaruh; tidak ada tindakan pengguna yang diperlukan. Untuk organisasi yang membangun antarmuka obrolan atau agen AI: audit setiap pendengar postMessage dan setiap komponen yang merender konten model/pengguna, perlakukan percakapan yang dapat dibagikan sebagai input tidak tepercaya, perketat daftar izin CSP.