Если ваши сотрудники вставляют в ChatGPT договоры, списки клиентов или цены, эта уязвимость касается вас. 28 октября 2026 года исследователи Parameter сообщили, что одной публичной ссылки на разговор в ChatGPT хватало, чтобы запустить код злоумышленника в аккаунте того, кто её открыл, прочитать его личные чаты и действовать от его имени. OpenAI закрыла брешь 26 октября, и вам ничего не нужно обновлять. Остаётся ваш вопрос: что прочитал бы злоумышленник в истории чатов ваших сотрудников? Вот 5 шагов, которые стоит проверить на этой неделе.
Что именно произошло
Ссылками для общего доступа пользуются все: вы копируете ссылку на разговор и отправляете её коллеге или клиенту. Исследователи обнаружили, что функция графиков в ChatGPT загружала математическую библиотеку MathLive, а эта библиотека принимала сообщения от любого фрейма на странице, не проверяя, откуда они пришли. В связке с функцией предпросмотра HTML это позволяло любому, кто создал и опубликовал вредоносный разговор, запускать свой код от имени самого chatgpt.com.
Согласно отчёту, код мог:
- Получить список последних разговоров жертвы.
- Прочитать личный разговор, которым жертва ни с кем не делилась.
- Отправить выбранные данные на внешний сервер.
- Вызывать API ChatGPT от имени жертвы, что исследователи описали как фактический захват аккаунта.
От жертвы требовалось минимум действий: в самой стабильной версии атаки один щелчок по кнопке предпросмотра, а в более поздней версии хватало просто открыть ссылку. Не нужно ничего устанавливать и вводить пароль.
Хронология в цифрах
- 13 октября 2026 года: исследователи подтвердили путь атаки на рабочем сайте.
- 18 октября: они сообщили об уязвимости в OpenAI через программу вознаграждений за ошибки.
- 21 октября: OpenAI воспроизвела уязвимость и повысила её уровень опасности с P2 до P1.
- 22 и 23 октября: был исправлен один из 2 веб-интерфейсов, затем изменения политики безопасности заблокировали часть цепочки.
- 26 октября: OpenAI подтвердила, что оба интерфейса отклоняют использованные сообщения, и закрыла отчёт.
- 28 октября: исследователи опубликовали подробности и сообщили, что вознаграждение составило 5 000 долларов.
В анализе Ostorlab отмечается, что номер CVE не присваивался и о реальных злоупотреблениях не сообщалось, но любой пользователь, вошедший в аккаунт и открывший подготовленную ссылку до 26 октября, был потенциальной жертвой.
Почему это важно владельцу бизнеса
Потому что настоящий риск не в ссылке, а в том, что хранит история чатов. В истории ChatGPT менеджера по продажам могут быть коммерческие предложения и имена клиентов, у бухгалтера финансовые показатели, а у разработчика ключи интеграции и фрагменты кода системы. Любая уязвимость, открывающая эту историю, открывает вместе с ней секреты вашей компании, даже если сотрудник сам ничем не делился.
Официальная страница справки OpenAI поясняет, что содержимое ссылки, созданной в личном аккаунте, может увидеть любой, у кого она есть, а ссылку, созданную в рабочем пространстве ChatGPT Business, Enterprise или Edu, могут открыть только допущенные участники этого пространства. Из-за этой разницы стоит знать, где работают ваши сотрудники: в личных аккаунтах или в пространстве, которым управляет компания. Мы уже писали о том, как защитить компанию от рисков ИИ, и эта уязвимость служит практическим примером.
5 шагов, которые стоит проверить на этой неделе
- Узнайте, кто пользуется ChatGPT и с какого аккаунта: простой список сотрудников с пометкой, работает ли каждый из личного аккаунта или из пространства компании.
- Запишите правило о том, что никогда не попадает в ChatGPT: персональные данные клиентов, договоры, пароли и ключи интеграции систем. Письменное правило действует сильнее устного напоминания.
- Очистите историю и старые ссылки: удалите разговоры с конфиденциальными данными и проверьте свои ссылки в разделе Настройки, затем Управление данными, затем Общие ссылки и затем Управлять. OpenAI предупреждает, что удаление ссылки закрывает доступ в будущем, но не удаляет исходный разговор и копии, которые другие уже сохранили.
- Относитесь к ссылкам для общего доступа как к вложениям: ссылка на ChatGPT от незнакомого отправителя заслуживает той же осторожности, что и неизвестный файл. Атаке нужна была сессия с выполненным входом, поэтому открытие подозрительной ссылки в браузере, где вы не вошли в свой аккаунт, ограничивает то, до чего она может добраться.
- Если у вас пространство Enterprise: администратор может отключить общий доступ к разговорам в настройках пространства, в разделе Разрешения и роли, если вашей команде он не нужен.
Взгляд Origami
Мы видим в этой уязвимости напоминание о том, что инструменты ИИ превратились в хранилище секретов компании, хотя никто этого не решал. Сотрудники вставляют то, что нужно для работы, история растёт день за днём, и никто её не просматривает. Ответ не в том, чтобы запретить инструмент, а в том, чтобы решить, что в него попадает и в каком аккаунте.
Для технических команд есть второй урок: уязвимость началась со сторонней библиотеки, которая принимала сообщения, не проверяя их источник. Когда мы создаём индивидуальную систему, показывающую контент из внешних источников, мы проверяем происхождение каждого сообщения между фреймами и изолируем недоверенный контент, а не полагаемся только на ограничения браузера.
Вывод
Уязвимость закрыта 26 октября и не требует от вас обновлений, но она показала, что история чатов ваших сотрудников может оказаться самым ценным файлом в компании. Выделите час на этой неделе: список аккаунтов, письменное правило о том, что никогда не вставляется, и очистка истории и ссылок. Если хотите проверить, как ваша команда пользуется инструментами ИИ, свяжитесь с нами или посмотрите наши услуги.
Источники
- Parameter — Do the Math: How We Took Over ChatGPT Accounts, 28 октября 2026 года: цепочка атаки, хронология, возможности злоумышленника и вознаграждение.
- OpenAI Help Center — Sharing conversations and scheduled tasks in ChatGPT: кто может видеть ссылку, управление ссылками и их удаление, разрешение на общий доступ в рабочих пространствах.
- Ostorlab — ChatGPT Shared-Link Account Takeover via MathLive Sandbox Escape: дата исправления, отсутствие CVE и сообщений о злоупотреблениях, рекомендации для разработчиков.
Частые вопросы
Нужно ли обновлять ChatGPT, чтобы закрыть уязвимость?
Нет. Исправление внесено на сайтах самой OpenAI, и компания подтвердила 26 октября 2026 года, что оба веб-интерфейса отклоняют использованные сообщения. Вам остаётся проверить, что хранится в истории чатов ваших сотрудников.
Использовали ли уязвимость против реальных пользователей?
По данным Ostorlab, о реальных злоупотреблениях не сообщалось, и номер CVE не присваивался. Но любой пользователь, вошедший в аккаунт и открывший подготовленную ссылку до 26 октября, был потенциальной жертвой.
Как удалить старые ссылки для общего доступа в ChatGPT?
Откройте Настройки, затем Управление данными, затем Общие ссылки и затем Управлять: там можно удалить одну ссылку или все. Удаление закрывает доступ в будущем, но не удаляет исходный разговор и копии, которые другие уже сохранили.
Стоит ли запретить сотрудникам ChatGPT?
Запрет обычно толкает сотрудников в личные аккаунты, которых вы не видите. Лучше письменное правило о том, что туда никогда не попадает, например данные клиентов, договоры и пароли, и аккаунты под управлением компании, где это возможно.
