ChatGPT: Ein geteilter Link konnte deine privaten Chats auslesen

Ein einziger Klick auf einen geteilten ChatGPT-Link hätte bis vor kurzem genügt, damit Fremde deine privaten Unterhaltungen mitlesen. Die Sicherheitsfirma Parameter hat diese Angriffskette am 28. Oktober in einem ausführlichen Bericht offengelegt. Zu dem Zeitpunkt war das Loch schon dicht. Gemeldet hatten die Forscher es am 18. Oktober über OpenAIs Bug-Bounty-Programm, seit dem 26. Oktober weisen beide Versionen der ChatGPT-Weboberfläche den Angriff ab. Hinweise auf echte Opfer gibt es laut Parameter keine, die Forscher haben nur zwischen eigenen Testkonten gearbeitet.

Eine Mathe-Tastatur als Einfallstor

Am Anfang stand eine ganz normale Freigabe. Der Angreifer legt eine Unterhaltung mit einer HTML-Vorschau und einem Diagramm an und teilt sie über die übliche Teilen-Funktion. Für das Diagramm lädt ChatGPT die Bibliothek MathLive, die eine virtuelle Tastatur für Formeln mitbringt. Diese Tastatur nahm Nachrichten aus jedem beliebigen Fenster entgegen und baute mitgeschicktes HTML ungeprüft in die Seite ein. So entstand ein Rahmen ohne Sandbox, der für den Browser zu chatgpt.com gehörte. Die Sicherheitsregeln der Seite ließen außerdem Skripte von YouTube zu, und genau darüber starteten die Forscher am Ende ihren eigenen JavaScript-Code.

Dieser Code lief in der Sitzung des angemeldeten Opfers. Er konnte die Liste aller Chats abrufen, eine private Unterhaltung öffnen, die nie geteilt worden war, und Teile davon an einen fremden Server schicken. Über ChatGPTs interne Schnittstellen hätte er auch im Namen des Opfers handeln können, Parameter beschreibt das als faktische Übernahme des Kontos. Im stabilsten Ablauf musste das Opfer einmal auf den Vorschau-Knopf drücken. In einer späteren Variante öffnete sich die Vorschau von selbst, dann reichte der Klick auf den Link.

5.000 Dollar Prämie und ein Fix in der Bibliothek

OpenAI hat den Fund nachgestellt und die Dringlichkeit am 21. Oktober von P2 auf P1 angehoben. Die Prämie lag bei insgesamt 5.000 US-Dollar. Der Entwickler Simon Willison hält das für einen Fehler dieser Schwere für ziemlich knapp bemessen. Auch MathLive selbst hat nachgebessert. Seit Version 0.111.2 vom 31. Oktober nimmt die Tastatur standardmäßig nur noch Nachrichten aus dem eigenen Ursprung an, so steht es im Changelog des Projekts. ChatGPT wird dort allerdings nicht erwähnt.

Was du jetzt tun kannst

Wegen dieser Lücke musst du nichts unternehmen, der Fix sitzt auf OpenAIs Seite. Ein Blick auf die eigenen Freigaben lohnt sich trotzdem. Wer einen geteilten Link kennt, kann die Unterhaltung lesen und weiterreichen, ein Ablaufdatum oder eine Beschränkung auf bestimmte Personen gibt es laut OpenAIs Hilfeseite nicht. Unter Einstellungen, Datenkontrollen und dann Verwalten bei Geteilte Links siehst du alle Links, die du je erzeugt hast. Dort löschst du sie einzeln oder über Weitere Aktionen alle auf einmal. Wer die ursprüngliche Unterhaltung löscht, entfernt damit auch den Link.

Fremde Links aus Foren, Mails oder Chats öffnest du am besten in einem privaten Browserfenster ohne Anmeldung, weil der Schadcode in diesem Fall nur mit einer angemeldeten Sitzung etwas anfangen konnte. Chatverläufe sind ohnehin ein begehrtes Ziel, das zeigten schon getarnte Ad-Blocker, die ChatGPT- und Gemini-Chats mitlasen. Die neue PIN-Sperre für einzelne Chats schützt nur vor neugierigen Blicken am Gerät und verschlüsselt nichts.