Исследователи Parameter раскрыли 28 октября цепочку уязвимостей, которая превращала публичную ссылку на беседу ChatGPT в способ прочитать закрытые разговоры открывшего её пользователя. В опыте между отдельными аккаунтами они получили список бесед, прочитали частную переписку, которой с ними не делились, и отправили небольшой фрагмент ответа на свой сервер. По хронологии Parameter, OpenAI завершила исправление 26 октября. О реальных атаках на пользователей отчёт не сообщает.

Для доставки исследователи совместили в одной беседе интерактивный график и HTML-предпросмотр. Предпросмотр работал в изолированной области браузера и напрямую читать основную страницу не мог. Но график загружал математическую библиотеку MathLive: её обработчик принимал сообщения из этой области без проверки отправителя и позволял подставить HTML в экранную клавиатуру. Так недоверенное содержимое попадало уже в основную страницу ChatGPT.

Через эту подстановку авторы создали новую встроенную страницу без изоляции, унаследовавшую права chatgpt.com. Дополнительный запрет на выполнение кода удалось обойти через разрешённый сайтом адрес YouTube. В результате код обращался к интерфейсам ChatGPT от имени вошедшего пользователя и читал данные другой беседы. В наиболее устойчивом варианте требовались переход по ссылке и нажатие обычной кнопки предпросмотра; позднее авторы трижды воспроизвели вариант с автоматическим открытием предпросмотра, где хватало одного перехода.

По данным Parameter, OpenAI воспроизвела выполнение кода и чтение закрытой беседы. Исправление раскатывали отдельно для двух версий веб-интерфейса; 26 октября обе перестали принимать использованные исследователями сообщения MathLive. Существенная граница здесь проходила не только вокруг самого предпросмотра: изоляцию обошли через другой компонент страницы, который доверял поступавшим из него командам.