ChatGPT, grave falla di sicurezza: un semplice link poteva svelare le chat private
Un normale link a una conversazione condivisa su ChatGPT poteva diventare una porta d’accesso alle chat private di un altro utente. È quanto hanno dimostrato i ricercatori della società di sicurezza Parameter, che hanno scoperto una vulnerabilità capace di eseguire codice all’interno della sessione autenticata della vittima. Il problema non richiedeva di conoscere la password, installare programmi o convincere l’utente a inserire credenziali su un sito falso: nella versione finale della dimostrazione bastava aprire un collegamento condiviso appositamente preparato.
La vulnerabilità è stata segnalata a OpenAI il 18 ottobre 2026 e corretta il 26 ottobre. L’azienda ha classificato il problema con priorità P1 e riconosciuto ai ricercatori una ricompensa complessiva di 5.000 dollari. La scoperta è stata resa pubblica il 28 ottobre, dopo la distribuzione della correzione. Non risultano prove pubbliche di sfruttamento contro utenti reali: i test documentati sono stati effettuati in modo controllato.
Il pericolo nascosto nei link condivisi di ChatGPT
La funzione di condivisione permette di creare un indirizzo pubblico per mostrare una conversazione a un’altra persona. Normalmente chi riceve il link può leggere soltanto il contenuto reso disponibile da chi lo ha generato. Le altre chat dell’account, comprese quelle mai condivise, dovrebbero restare inaccessibili.
La vulnerabilità scoperta da Parameter aggirava questa separazione. Un aggressore poteva preparare una conversazione apparentemente innocua, con elementi interattivi, e inviarne il link tramite email, messaggistica o social network. Una volta aperta dalla vittima già collegata a ChatGPT, la pagina poteva avviare una catena di operazioni che portava a eseguire JavaScript con i privilegi della sessione dell’utente.
Nella dimostrazione più stabile era necessario aprire la conversazione e premere una volta il pulsante Preview. I ricercatori hanno però sviluppato anche una variante nella quale l’anteprima si apriva automaticamente: in quel caso la semplice apertura del link era sufficiente a innescare il comportamento.
Come una normale anteprima è riuscita a superare le protezioni
Il meccanismo coinvolgeva due funzioni legittime di ChatGPT: un grafico interattivo e l’anteprima di contenuti HTML. Le anteprime vengono normalmente eseguite in un ambiente isolato, chiamato sandbox, proprio per impedire al codice contenuto nella pagina di accedere direttamente al resto di ChatGPT.
Quella protezione iniziale funzionava. Il problema nasceva da un altro componente caricato insieme al grafico: MathLive, una libreria per la gestione di contenuti matematici e della tastiera virtuale. Secondo la ricostruzione tecnica dei ricercatori, il componente accettava alcuni messaggi provenienti da altre finestre del browser senza verificare adeguatamente chi li avesse inviati.
Questo comportamento consentiva di trasferire contenuti HTML dall’anteprima isolata alla pagina principale di ChatGPT. Attraverso una sequenza di ulteriori passaggi, gli elementi controllati dall’aggressore potevano essere interpretati nel contesto del sito autentico, anziché rimanere confinati nell’ambiente separato.
La catena sfruttava anche una combinazione di regole del browser e delle autorizzazioni relative al caricamento di script. Il punto decisivo non era una password compromessa: era il fatto che codice non attendibile riusciva a ottenere accesso al contesto web di un utente già autenticato.
I ricercatori sono riusciti a leggere una chat che non era mai stata condivisa
Una volta ottenuta l’esecuzione del codice nella sessione della vittima, i ricercatori hanno dimostrato di poter interrogare le funzioni interne di ChatGPT utilizzando le autorizzazioni già disponibili al browser. Sono riusciti a visualizzare l’elenco delle conversazioni recenti e a recuperare il contenuto di una conversazione privata non collegata al link ricevuto.
La prova comprendeva anche l’invio di una piccola porzione dei dati a un server controllato dai ricercatori. Si trattava di una dimostrazione limitata e intenzionale, sufficiente però a provare che il contenuto privato poteva uscire dalla sessione dell’utente senza che quest’ultimo avesse autorizzato la condivisione.
Parameter ha spiegato che, avendo accesso al contesto autenticato, l’aggressore avrebbe potuto potenzialmente compiere anche altre operazioni consentite all’account. È importante distinguere questa possibilità tecnica dalle azioni effettivamente documentate: l’accesso alle conversazioni e l’estrazione controllata di dati sono stati dimostrati, mentre non è stata documentata una compromissione generalizzata di account reali.
Leggi anche:
OpenAI ha corretto la falla: le date dell’intervento
La sequenza degli eventi aiuta a capire la rapidità con cui il problema è stato affrontato. I ricercatori hanno confermato il comportamento vulnerabile durante il mese di ottobre e inviato la segnalazione attraverso il programma di ricompense per la scoperta di falle di sicurezza il 18 ottobre.
Il 21 ottobre OpenAI ha riprodotto il problema e ne ha aumentato la priorità da P2 a P1. Nei giorni successivi sono stati distribuiti aggiornamenti per le versioni interessate dell’interfaccia web. Il 26 ottobre 2026 entrambe le versioni coinvolte respingevano i messaggi utilizzati nella dimostrazione e la vulnerabilità è stata considerata risolta.
La correzione è stata applicata al servizio: non è necessario installare un aggiornamento manuale per eliminare questa specifica vulnerabilità. Il problema non va confuso con una violazione confermata dei database di OpenAI o con la pubblicazione automatica di tutte le chat degli utenti.
Cosa rischi quando condividi informazioni personali con un assistente IA
Il caso mette in luce quanto possa essere delicato il contenuto conservato nelle conversazioni con un assistente digitale. In una chat possono finire documenti di lavoro, dati personali, informazioni economiche, appunti riservati e file caricati per ottenere assistenza. L’accesso non autorizzato a queste informazioni potrebbe avere conseguenze ben più serie della lettura di un semplice messaggio.
È anche fondamentale distinguere due situazioni differenti. Quando condividi volontariamente una conversazione, chiunque possieda il collegamento può potenzialmente accedere al contenuto condiviso. La falla scoperta da Parameter andava oltre: permetteva di raggiungere altre conversazioni private che l’utente non aveva scelto di condividere.
I ricercatori non hanno dichiarato di aver individuato vittime reali. Per questo sarebbe scorretto affermare che tutte le chat di ChatGPT siano state rubate o che ogni link condiviso fosse pericoloso. Il rischio riguardava collegamenti malevoli costruiti appositamente per sfruttare una vulnerabilità specifica, ora corretta.
Come proteggere le tue conversazioni su ChatGPT
Anche dopo la correzione, vale la pena mantenere alcune precauzioni. Evita di aprire senza verifiche link inattesi che promettono di mostrarti conversazioni, documenti o risultati sorprendenti, soprattutto se arrivano da mittenti sconosciuti. Un indirizzo che appartiene a un servizio autentico non garantisce che tutto il contenuto condiviso sia affidabile.
Controlla periodicamente quali conversazioni hai reso pubbliche tramite link e revoca quelle che non vuoi più condividere. Non inserire nelle chat password, codici temporanei o altre credenziali che non sono necessarie alla richiesta. Quando lavori con documenti riservati, valuta quali dati puoi omettere o anonimizzare prima del caricamento.
Se ricevi un link a una conversazione condivisa da una fonte non attendibile, puoi scegliere di non aprirlo. Per la vulnerabilità specifica descritta in questa notizia non serve cambiare password o reimpostare l’account come misura obbligatoria, perché la correzione è stata distribuita lato servizio e non esistono indicazioni pubbliche di una campagna di sfruttamento reale.
La vicenda dimostra che una piattaforma può avere protezioni apparentemente solide e presentare comunque problemi quando più componenti legittimi interagiscono in modi imprevisti. In questo caso la sandbox dell’anteprima ha resistito, ma un altro componente ha finito per creare un passaggio verso la sessione autenticata. È proprio questo il tipo di errore che rende importante la ricerca indipendente sulla sicurezza.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.