何が起きたか
Parameter Labsは（2026-10-28、OpenAIが再現後P2→P1に引き上げ）公開ChatGPT共有リンクが、それを開いてプレビューを一度クリックした（または後のバリアントではリンクを開くだけの）サインイン済みセッション内で攻撃者制御のJavaScriptを実行できる可能性があることを公開しました。サンドボックス化されたプレビューフレーム自体は機能していましたが、回避はMathLiveのクロスフレームメッセージリスナー（メインのchatgpt.comページ上）と、サンドボックス化されていないiframe、およびYouTubeベースのCSPバイパスを通じて発生しました。OpenAIは2つのフロントエンドバージョンを修正し、$5,000のバウンティを授与しました；実際の悪用は報告されていません。
なぜ重要か
ChatGPTは最も広く使用されているAI製品であり、共有会話リンクは日常的にメール、チケット、チャットに貼り付けられ、受信者はchatgpt.comのURLを信頼済みとして扱います。このエクスプロイトチェーンは、通常の共有リンクを認証済みアカウント乗っ取りとプライベート会話の持ち出しに変えます — 境界制御で停止できないクライアントサイドの攻撃面であり、パターン（検証されていないpostMessage + 緩いCSP + ベアラートークンの近くのリッチな信頼されていないコンテンツ）は他のAIチャット/エージェントプラットフォームでも再発する可能性が高いです。
攻撃経路
通常のChatGPT共有リンクを通じて配信されるストアド/クライアントサイドXSSサンドボックス回避。悪意のある会話にインタラクティブなグラフが含まれると、サードパーティのMathLiveライブラリが読み込まれ、その仮想キーボードのpostMessageリスナーが任意のオリジンからのメッセージを受け入れ、innerHTMLを介して攻撃者HTMLを信頼済みのchatgpt.comページに書き込みます。注入されたHTMLは、chatgpt.comオリジンを継承するサンドボックス化されていないiframeを生成し、YouTubeを含むCSP許可リストを使用して実行可能なJavaScriptを反映します。攻撃者スクリプトはその後、DOMからセッションアクセストークンを読み取り、ChatGPTの認証済みAPIを呼び出します。
影響を受けるシステム
ChatGPT Webフロントエンド（HTMLプレビュー / Canvasアーティファクト機能）；根本原因はMathLiveの数式入力ライブラリのクロスフレームpostMessageリスナーと緩いCSP
緩和策
OpenAIにより2026-10-26に2つの影響を受けるフロントエンドバージョンでパッチ適用/修正済み；ユーザーアクションは不要です。AIチャットまたはエージェントインターフェースを構築する組織向け：すべてのpostMessageリスナーとモデル/ユーザーコンテンツをレンダリングするすべてのコンポーネントを監査し、共有可能な会話を信頼されていない入力として扱い、CSP許可リストを厳格化してください。