Se i tuoi dipendenti incollano contratti, elenchi di clienti o prezzi in ChatGPT, questa falla ti riguarda. Il 28 ottobre 2026 i ricercatori di Parameter hanno rivelato che un solo link pubblico di condivisione a una conversazione di ChatGPT bastava per eseguire il codice di un attaccante nell'account di chi lo apriva, leggerne le chat private e agire a suo nome. OpenAI ha chiuso la falla il 26 ottobre e non devi aggiornare nulla. La domanda che resta è tua: cosa avrebbe letto un attaccante nella cronologia delle chat dei tuoi dipendenti? Ecco 5 passi da verificare questa settimana.
Cosa è successo esattamente
I link di condivisione sono una funzione che usano tutti: copi il link di una conversazione e lo mandi a un collega o a un cliente. I ricercatori hanno scoperto che la funzione dei grafici di ChatGPT caricava una libreria matematica chiamata MathLive, e che questa libreria accettava messaggi da qualsiasi frame della pagina senza verificarne la provenienza. Combinata con la funzione di anteprima HTML, questa debolezza permetteva a chiunque creasse e condividesse una conversazione malevola di eseguire il proprio codice come se fosse chatgpt.com stesso.
Secondo il rapporto, il codice poteva:
- Elencare le conversazioni recenti della vittima.
- Leggere una conversazione privata che la vittima non aveva mai condiviso con nessuno.
- Inviare i dati scelti a un server esterno.
- Chiamare le API di ChatGPT come la vittima, cosa che i ricercatori hanno descritto come una presa di controllo effettiva dell'account.
L'interazione richiesta alla vittima era minima: nella versione più stabile dell'attacco, un clic sul pulsante Anteprima; in una versione successiva bastava aprire il link. Nessuna app da installare, nessuna password da inserire.
La cronologia in cifre
- 13 ottobre 2026: i ricercatori hanno confermato il percorso d'attacco sul sito reale.
- 18 ottobre: hanno segnalato la falla a OpenAI tramite il programma di bug bounty.
- 21 ottobre: OpenAI ha riprodotto la falla e ne ha alzato la gravità da P2 a P1.
- 22 e 23 ottobre: è stata corretta una delle 2 interfacce web, poi modifiche alla policy di sicurezza hanno bloccato parte della catena.
- 26 ottobre: OpenAI ha confermato che entrambe le interfacce rifiutano i messaggi sfruttati e ha chiuso la segnalazione.
- 28 ottobre: i ricercatori hanno pubblicato i dettagli e indicato una ricompensa di 5.000 dollari.
L'analisi di Ostorlab osserva che non è stato assegnato alcun CVE e che non sono stati segnalati abusi reali, ma qualsiasi utente con accesso effettuato che abbia aperto un link manipolato prima del 26 ottobre era una potenziale vittima.
Perché riguarda un imprenditore
Perché il vero rischio non è il link, ma ciò che contiene la cronologia delle chat. La cronologia di ChatGPT di un commerciale può contenere preventivi e nomi di clienti, quella di un contabile dati finanziari, quella di uno sviluppatore chiavi di integrazione e parti del codice di sistema. Qualsiasi falla che apra quella cronologia apre con essa i segreti della tua azienda, anche se il dipendente non ha mai condiviso nulla.
La pagina di assistenza ufficiale di OpenAI spiega che chiunque abbia un link creato da un account personale può vederne il contenuto, mentre un link creato in uno spazio di lavoro ChatGPT Business, Enterprise o Edu può essere aperto solo dai membri autorizzati di quello spazio. Questa differenza spiega perché conviene sapere dove lavorano i tuoi dipendenti: su account personali o in uno spazio gestito dall'azienda. Abbiamo già scritto su come proteggere la tua azienda dai rischi dell'IA, e questa falla ne è un esempio pratico.
5 passi da verificare questa settimana
- Sapere chi usa ChatGPT e con quale account: un semplice elenco con i nomi del personale e se ciascuno lavora da un account personale o dallo spazio aziendale.
- Scrivere una regola su ciò che non entra mai in ChatGPT: dati personali dei clienti, contratti, password e chiavi di integrazione dei sistemi. Una regola scritta vale più di un promemoria a voce.
- Ripulire cronologia e vecchi link: elimina le conversazioni che contengono dati sensibili e controlla i tuoi link in Impostazioni, poi Controlli dei dati, poi Link condivisi e infine Gestisci. OpenAI precisa che eliminare un link blocca l'accesso futuro, ma non cancella la conversazione originale né le copie già salvate da altri.
- Trattare i link di condivisione come allegati: un link di ChatGPT da un mittente sconosciuto merita la stessa cautela di un file sconosciuto. L'attacco richiedeva una sessione con accesso effettuato, quindi aprire un link sospetto in un browser non collegato al tuo account limita ciò che può raggiungere.
- Se hai uno spazio Enterprise: l'amministratore può disattivare la condivisione delle conversazioni nelle impostazioni dello spazio, alla voce Autorizzazioni e ruoli, se il tuo team non ne ha bisogno.
Il punto di vista di Origami
Leggiamo questa falla come un promemoria: gli strumenti di IA sono diventati un archivio di segreti aziendali senza che nessuno lo decidesse. Il personale incolla ciò che serve per lavorare, la cronologia cresce giorno dopo giorno e nessuno la rilegge. La risposta non è vietare lo strumento, ma decidere cosa ci entra e su quale account.
C'è una seconda lezione per i team tecnici: la falla è partita da una libreria di terze parti che accettava messaggi senza verificarne la fonte. Quando sviluppiamo un sistema su misura che mostra contenuti provenienti da fonti esterne, verifichiamo l'origine di ogni messaggio tra frame e isoliamo i contenuti non attendibili, invece di affidarci solo alle restrizioni del browser.
Conclusione
La falla è stata chiusa il 26 ottobre e non richiede alcun aggiornamento da parte tua, ma ha mostrato che la cronologia delle chat dei tuoi dipendenti può essere il file più prezioso della tua azienda. Riserva un'ora questa settimana: un elenco degli account, una regola scritta su ciò che non si incolla mai e una pulizia di cronologia e link. Se vuoi una verifica di come il tuo team usa gli strumenti di IA, contattaci o scopri i nostri servizi.
Fonti
- Parameter — Do the Math: How We Took Over ChatGPT Accounts, 28 ottobre 2026: la catena di attacco, la cronologia, cosa poteva fare l'attaccante e la ricompensa.
- OpenAI Help Center — Sharing conversations and scheduled tasks in ChatGPT: chi può vedere un link, la gestione e l'eliminazione dei link e l'autorizzazione alla condivisione negli spazi di lavoro.
- Ostorlab — ChatGPT Shared-Link Account Takeover via MathLive Sandbox Escape: la data della correzione, l'assenza di CVE e di segnalazioni di abuso e i consigli per gli sviluppatori.
Domande frequenti
Devo aggiornare ChatGPT per chiudere la falla?
No. La correzione è stata fatta sui siti di OpenAI, e l'azienda ha confermato il 26 ottobre 2026 che entrambe le interfacce web rifiutano i messaggi sfruttati. A te resta da verificare cosa contiene la cronologia delle chat dei tuoi dipendenti.
La falla è stata davvero sfruttata contro gli utenti?
Secondo Ostorlab non sono stati segnalati abusi reali e non è stato assegnato alcun CVE. Ma qualsiasi utente con accesso effettuato che abbia aperto un link manipolato prima del 26 ottobre era una potenziale vittima.
Come elimino i vecchi link di condivisione in ChatGPT?
Vai in Impostazioni, poi Controlli dei dati, poi Link condivisi e infine Gestisci, dove puoi eliminare un link o tutti. L'eliminazione blocca l'accesso futuro, ma non cancella la conversazione originale né le copie già salvate da altri.
Devo vietare ChatGPT ai miei dipendenti?
Un divieto di solito spinge il personale verso account personali che non vedi. Meglio una regola scritta su ciò che non deve mai entrarci, come dati dei clienti, contratti e password, con account gestiti dall'azienda quando possibile.
