Wenn Ihre Mitarbeiter Verträge, Kundenlisten oder Preise in ChatGPT einfügen, betrifft Sie diese Lücke. Am 28. Oktober 2026 legten Forscher von Parameter offen, dass ein einziger öffentlicher Freigabelink zu einer ChatGPT-Unterhaltung genügte, um den Code eines Angreifers im Konto der Person auszuführen, die ihn öffnete, ihre privaten Chats zu lesen und in ihrem Namen zu handeln. OpenAI schloss die Lücke am 26. Oktober, und Sie müssen nichts aktualisieren. Die Frage, die bleibt, ist Ihre: Was hätte ein Angreifer im Chatverlauf Ihrer Mitarbeiter gelesen? Hier sind 5 Schritte, die Sie diese Woche prüfen sollten.
Was genau passiert ist
Freigabelinks nutzt jeder: Man kopiert den Link zu einer Unterhaltung und schickt ihn an einen Kollegen oder Kunden. Die Forscher fanden heraus, dass die Diagrammfunktion von ChatGPT eine Mathematikbibliothek namens MathLive lud und dass diese Bibliothek Nachrichten von jedem Frame der Seite annahm, ohne deren Herkunft zu prüfen. In Verbindung mit der HTML-Vorschau konnte so jeder, der eine bösartige Unterhaltung erstellte und teilte, seinen Code als chatgpt.com selbst ausführen.
Laut dem Bericht konnte der Code:
- Die letzten Unterhaltungen des Opfers auflisten.
- Eine private Unterhaltung lesen, die das Opfer nie mit jemandem geteilt hatte.
- Ausgewählte Daten an einen externen Server senden.
- Die ChatGPT-APIs als das Opfer aufrufen, was die Forscher als faktische Übernahme des Kontos beschrieben.
Die vom Opfer verlangte Interaktion war minimal: In der stabilsten Version des Angriffs ein Klick auf die Schaltfläche Vorschau, in einer späteren Version genügte schon das Öffnen des Links. Keine App zu installieren, kein Passwort einzugeben.
Der Zeitablauf in Zahlen
- 13. Oktober 2026: Die Forscher bestätigten den Angriffsweg auf der echten Website.
- 18. Oktober: Sie meldeten die Lücke über das Bug-Bounty-Programm an OpenAI.
- 21. Oktober: OpenAI reproduzierte die Lücke und stufte ihren Schweregrad von P2 auf P1 hoch.
- 22. und 23. Oktober: Eine von 2 Weboberflächen wurde korrigiert, danach blockierten Änderungen an der Sicherheitsrichtlinie einen Teil der Kette.
- 26. Oktober: OpenAI bestätigte, dass beide Oberflächen die ausgenutzten Nachrichten ablehnen, und schloss die Meldung.
- 28. Oktober: Die Forscher veröffentlichten die Details und nannten eine Prämie von 5.000 US-Dollar.
Die Analyse von Ostorlab hält fest, dass keine CVE vergeben und kein realer Missbrauch gemeldet wurde, aber jeder angemeldete Nutzer, der vor dem 26. Oktober einen präparierten Link öffnete, war ein potenzielles Opfer.
Warum das Unternehmer betrifft
Weil das eigentliche Risiko nicht im Link liegt, sondern in dem, was der Chatverlauf enthält. Der ChatGPT-Verlauf eines Vertriebsmitarbeiters kann Angebote und Kundennamen enthalten, der eines Buchhalters Finanzzahlen und der eines Entwicklers Integrationsschlüssel und Teile des Systemcodes. Jede Lücke, die diesen Verlauf öffnet, öffnet damit die Geheimnisse Ihres Unternehmens, selbst wenn der Mitarbeiter selbst nie etwas geteilt hat.
Die offizielle Hilfeseite von OpenAI erklärt, dass jeder, der einen aus einem privaten Konto erstellten Link besitzt, dessen Inhalt sehen kann, während ein in einem Arbeitsbereich von ChatGPT Business, Enterprise oder Edu erstellter Link nur von berechtigten Mitgliedern dieses Arbeitsbereichs geöffnet werden kann. Dieser Unterschied zeigt, warum Sie wissen sollten, wo Ihre Mitarbeiter arbeiten: in privaten Konten oder in einem vom Unternehmen verwalteten Arbeitsbereich. Wir haben bereits darüber geschrieben, wie Sie Ihr Unternehmen vor KI-Risiken schützen, und diese Lücke ist ein praktisches Beispiel dafür.
5 Schritte, die Sie diese Woche prüfen sollten
- Wissen, wer ChatGPT nutzt und mit welchem Konto: eine einfache Liste mit den Namen der Mitarbeiter und ob jeder in einem privaten Konto oder im Arbeitsbereich des Unternehmens arbeitet.
- Eine Regel schreiben, was nie in ChatGPT gehört: personenbezogene Kundendaten, Verträge, Passwörter und Integrationsschlüssel der Systeme. Eine schriftliche Regel wirkt stärker als ein mündlicher Hinweis.
- Verlauf und alte Links bereinigen: Löschen Sie Unterhaltungen mit sensiblen Daten und prüfen Sie Ihre Links unter Einstellungen, dann Datenkontrollen, dann Geteilte Links und dann Verwalten. OpenAI weist darauf hin, dass das Löschen eines Links den künftigen Zugriff stoppt, aber weder die ursprüngliche Unterhaltung noch Kopien löscht, die andere bereits gespeichert haben.
- Freigabelinks wie Anhänge behandeln: Ein ChatGPT-Link von einem unbekannten Absender verdient dieselbe Vorsicht wie eine unbekannte Datei. Der Angriff brauchte eine angemeldete Sitzung, daher begrenzt das Öffnen eines verdächtigen Links in einem Browser, der nicht bei Ihrem Konto angemeldet ist, was er erreichen kann.
- Wenn Sie einen Enterprise-Arbeitsbereich haben: Der Administrator kann das Teilen von Unterhaltungen in den Einstellungen des Arbeitsbereichs unter Berechtigungen und Rollen abschalten, falls Ihr Team es nicht braucht.
Die Sicht von Origami
Wir lesen diese Lücke als Erinnerung daran, dass KI-Werkzeuge zu einem Speicher für Unternehmensgeheimnisse geworden sind, ohne dass jemand das beschlossen hätte. Mitarbeiter fügen ein, was sie für ihre Arbeit brauchen, der Verlauf wächst Tag für Tag, und niemand prüft ihn. Die Antwort ist nicht, das Werkzeug zu verbieten, sondern zu entscheiden, was hineinkommt und in welchem Konto.
Für technische Teams gibt es eine zweite Lehre: Die Lücke begann in einer Drittanbieter-Bibliothek, die Nachrichten annahm, ohne ihre Quelle zu prüfen. Wenn wir ein individuelles System bauen, das Inhalte aus externen Quellen anzeigt, prüfen wir die Herkunft jeder Nachricht zwischen Frames und isolieren nicht vertrauenswürdige Inhalte, statt uns allein auf Browser-Beschränkungen zu verlassen.
Fazit
Die Lücke wurde am 26. Oktober geschlossen und erfordert von Ihnen kein Update, aber sie hat gezeigt, dass der Chatverlauf Ihrer Mitarbeiter die wertvollste Datei in Ihrem Unternehmen sein könnte. Nehmen Sie sich diese Woche eine Stunde Zeit: eine Liste der Konten, eine schriftliche Regel, was nie eingefügt wird, und eine Bereinigung von Verlauf und Links. Wenn Sie prüfen lassen möchten, wie Ihr Team KI-Werkzeuge nutzt, kontaktieren Sie uns oder sehen Sie sich unsere Leistungen an.
Quellen
- Parameter — Do the Math: How We Took Over ChatGPT Accounts, 28. Oktober 2026: die Angriffskette, der Zeitablauf, was der Angreifer tun konnte, und die Prämie.
- OpenAI Help Center — Sharing conversations and scheduled tasks in ChatGPT: wer einen Link sehen kann, das Verwalten und Löschen von Links und die Freigabeberechtigung in Arbeitsbereichen.
- Ostorlab — ChatGPT Shared-Link Account Takeover via MathLive Sandbox Escape: das Datum der Korrektur, das Fehlen einer CVE und von Missbrauchsmeldungen sowie Empfehlungen für Entwickler.
Häufige Fragen
Muss ich ChatGPT aktualisieren, um die Lücke zu schließen?
Nein. Die Korrektur erfolgte auf den Websites von OpenAI selbst, und das Unternehmen bestätigte am 26. Oktober 2026, dass beide Weboberflächen die ausgenutzten Nachrichten ablehnen. Ihnen bleibt, zu prüfen, was der Chatverlauf Ihrer Mitarbeiter enthält.
Wurde die Lücke tatsächlich gegen Nutzer ausgenutzt?
Laut Ostorlab wurde kein realer Missbrauch gemeldet und keine CVE vergeben. Aber jeder angemeldete Nutzer, der vor dem 26. Oktober einen präparierten Link öffnete, war ein potenzielles Opfer.
Wie lösche ich alte Freigabelinks in ChatGPT?
Gehen Sie zu Einstellungen, dann Datenkontrollen, dann Geteilte Links und dann Verwalten. Dort können Sie einen Link oder alle löschen. Das Löschen stoppt den künftigen Zugriff, entfernt aber weder die ursprüngliche Unterhaltung noch Kopien, die andere bereits gespeichert haben.
Sollte ich meinen Mitarbeitern ChatGPT verbieten?
Ein Verbot treibt Mitarbeiter meist in private Konten, die Sie nicht sehen. Besser ist eine schriftliche Regel, was niemals hineingehört, etwa Kundendaten, Verträge und Passwörter, und wo möglich vom Unternehmen verwaltete Konten.
