Forscher des Sicherheitsunternehmens Parameter haben eine inzwischen behobene Schwachstelle in ChatGPT offengelegt. Ein Angreifer konnte eine präparierte Unterhaltung über die normale Teilen-Funktion veröffentlichen und den Link verschicken. Öffnete ein angemeldeter Nutzer ihn, lief der Code des Angreifers mit den Rechten von chatgpt.com in dessen Sitzung.

Wie der Angriff funktionierte

Laut Parameter verketteten die Forscher mehrere Schwächen. Eine interaktive Grafik lud die Mathe-Bibliothek MathLive, die Nachrichten anderer Fenster annahm, ohne deren Herkunft zu prüfen. Über eine HTML-Vorschau ließ sich so ein manipuliertes Tastaturlayout einschleusen, das wiederum ein nicht abgeschottetes Fenster mit der Identität von chatgpt.com erzeugte.

Im Test konnten die Forscher damit die Liste der Unterhaltungen des Opfers auslesen, eine private Unterhaltung abrufen und an einen eigenen Server schicken. In der zuletzt getesteten Variante musste das Opfer nur den Link öffnen.

Stand der Dinge

OpenAI stufte den Bericht als P1, also höchste Priorität, ein und behob das Problem serverseitig am 26. Oktober. Nutzer müssen nichts tun. Hinweise auf echte Angriffe nennt Parameter nicht. MathLive hat mit Version 0.111.2 eine Herkunftsprüfung ergänzt.

Warum solche Ketten gefährlich sind

Einzeln betrachtet wirkte keine der genutzten Schwächen dramatisch. Erst die Verkettung ermöglichte es, Code im Kontext von chatgpt.com auszuführen. Zentral war eine fehlende Prüfung der Herkunft von Nachrichten zwischen Browserfenstern. Die Schnittstelle postMessage erlaubt solchen Austausch ausdrücklich, setzt aber voraus, dass Empfänger den Absender kontrollieren. Die Dokumentation des Mozilla Developer Network beschreibt diese Pflicht seit Langem.

Was Unternehmen tun sollten

Für Anwender ist das konkrete Problem behoben. Der Fall eignet sich dennoch für Schulungen: Ein Link auf eine geteilte KI-Unterhaltung kann mehr sein als ein harmloses Dokument. Mitarbeitende sollten Links unbekannter Herkunft auch dann kritisch prüfen, wenn sie auf bekannte Dienste verweisen.

Entwicklungsteams, die eigene Webanwendungen betreiben, können aus dem Fall zwei Punkte mitnehmen. Erstens sollten Bibliotheken von Drittanbietern regelmäßig aktualisiert werden, im konkreten Fall MathLive auf mindestens Version 0.111.2. Zweitens lohnt sich ein Blick auf die eigene Nutzung von postMessage und auf Schutzmaßnahmen gegen Cross-Site-Scripting, wie sie OWASP beschreibt.

Quellen und Weiterlesen

Dieser Beitrag stützt sich auf die Berichterstattung von Parameter: Do the Math – How We Took Over ChatGPT Accounts und The Hacker News: A Shared ChatGPT Link Could Run Attacker Code in Your Session. Zahlen und Angaben stammen aus diesen Quellen, eigene Schätzungen hat die Redaktion nicht ergänzt. Wer tiefer einsteigen möchte, findet ergänzendes Material hier:

  • MDN Web Docs: Window.postMessage(): Offizielle Dokumentation oder Regelwerk.
  • MathLive auf GitHub: Praktisches Werkzeug oder Nachschlagewerk.
  • OWASP: Cross Site Scripting (XSS): Hintergrundinformationen zur beteiligten Organisation oder zum Thema.