ChatGPT opravil chybu, která přes sdílený náhled zpřístupňovala soukromá data

TL;DR

• Speciálně připravený sdílený odkaz v ChatGPT mohl po otevření přihlášeným uživatelem umožnit přístup k jeho soukromým datům a provádění akcí jeho jménem.
• Parameter Labs našli cestu z izolovaného HTML náhledu do hlavní stránky ChatGPT. OpenAI podle zveřejněného shrnutí chybu opravilo.
• Pokud vybíráš aplikaci, která spouští kód vytvořený AI, chtěj doložit, jak odděluje náhled od účtu a jeho oprávnění. Samotné označení „izolované prostředí“ nestačí.

Sdílená interaktivní ukázka může vypadat jako obyčejná součást konverzace. Jakmile ale spouští kód, záleží na tom, k čemu se tento kód dostane. Opravená chyba v ChatGPT ukázala, že selhání této hranice může zpřístupnit i soukromá data přihlášeného uživatele.

Simon Willison ve shrnutí z 31. října 2026 popsal nález Parameter Labs: útočník mohl připravit sdílený odkaz ChatGPT, jehož návštěva umožňovala získat data jiného přihlášeného uživatele nebo jednat jeho jménem. Podle shrnutí OpenAI zranitelnost odstranilo a vyplatilo odměnu 5 000 dolarů za její nahlášení.

Jak se kód z náhledu dostal k účtu

ChatGPT zobrazuje interaktivní HTML aplikace ve vloženém rámu, označovaném jako iframe. Ten má pomocí bezpečnostních omezení držet nedůvěryhodný kód odděleně od hlavní stránky. Náhled tak nemá získat přístup k soukromým datům jen proto, že ho otevřeš uvnitř přihlášeného účtu.

Popsaný útok propojil několik slabin. Knihovna MathLive, kterou ChatGPT využívalo pro podporu grafů, obsahovala virtuální klávesnici. Tu bylo možné vyvolat zprávou z vloženého rámu. Obsluha těchto zpráv dovolovala vložit HTML do hlavní stránky a chyběla kontrola, která by v tom zabránila také rámům s nedůvěryhodnými náhledy.

Vložené HTML následně umožnilo vytvořit další rám bez původních bezpečnostních omezení. Ani pravidla omezující načítání skriptů celý řetězec nezastavila: útočníci využili povolenou doménu YouTube a chování její služby oEmbed ke spuštění JavaScriptu.

Jakmile se kód spustil v prostředí hlavní stránky ChatGPT, mohl přes rozhraní služby načíst soukromá uživatelská data a odeslat je ven. Rozhodující tedy byla cesta mezi náhledem, hlavní stránkou a přístupem k účtu.

Co nález dokládá a co zůstává neznámé

Dostupný popis dokládá nalezenou cestu k přístupu k datům a akcím pod přihlášeným účtem. Neuvádí počet zasažených uživatelů ani potvrzené zneužití mimo výzkum. Nelze z něj proto vyvozovat, že došlo k hromadnému úniku dat.

Vycházíme z dostupného shrnutí Willisonova článku v RSS, které odkazuje na zprávu Parameter Labs. Podle něj je chyba opravená. Popis také nedokládá krádež hesla nebo trvalé ovládnutí účtu, přestože původní titulek mluví o převzetí účtů.

Pro posouzení závažnosti stačí doložený dopad: cizí kód mohl využít přístup přihlášeného uživatele. Ochrana takové hranice patří do aplikace, která náhled spouští.

Co si nechat předvést u vlastní AI aplikace

Představ si, že ti kolega pošle interaktivní kalkulačku vytvořenou pomocí AI. Chceš vyzkoušet výpočet ceny. Kód kalkulačky k tomu nepotřebuje číst tvoje ostatní konverzace ani provádět změny pod tvým účtem.

Pokud podobné náhledy zapojuješ do vlastní aplikace nebo agentského procesu, vyžádej si od dodavatele či vývojáře důkaz o třech hranicích:

• Oddělení náhledu od účtu: ke kterým datům a funkcím má spuštěný kód skutečně přístup?
• Kontrola zpráv mezi částmi stránky: ověřuje aplikace, kdo zprávu poslal a co smí požadovat?
• Omezení navazujících akcí: může náhled otevřít další prostředí s širšími oprávněními nebo odeslat data ven?

To jsou doporučení odvozená z popsaného selhání, nikoli seznam potvrzených změn v ChatGPT. U vlastní aplikace začni jedním konkrétním požadavkem: nech si na testovacím účtu s umělými daty ukázat, že interaktivní náhled nedosáhne na obsah mimo svůj úkol. Takový výsledek řekne o oddělení oprávnění víc než samotný název použité ochrany.

Zdroj

Simon Willison: How We Took Over ChatGPT Accounts, 31. října 2026 • Dostupné shrnutí v RSS odkazuje na nález Parameter Labs.