Un enlace compartido de ChatGPT preparado podía ejecutar código en la sesión de quien lo abría y leer sus conversaciones privadas. Lo descubrió la firma de seguridad Parameter, que lo publicó el 28 de octubre de 2026; OpenAI lo corrigió el 26 de octubre. Quien usa ChatGPT no tiene que instalar nada.
Lo que se sabe
- Quién lo encontró: Parameter, en el artículo «Do the Math: How We Took Over ChatGPT Accounts», firmado por Mukul Goyal y publicado el 28 de octubre.
- Cronología, según Parameter: lo reportó al programa de recompensas de OpenAI el 18 de octubre. OpenAI lo reprodujo el 21 de octubre y subió su gravedad de P2 a P1. El 26 de octubre confirmó que las dos versiones de la web de ChatGPT ya rechazaban el ataque, lo dio por resuelto y pagó 5.000 dólares en total.
- Qué permitía: según Parameter, bastaba con abrir el chat compartido; en la versión final del ataque, la vista previa se abría sola. El código podía actuar como la víctima: en su prueba, listó sus conversaciones, leyó una privada que nunca se había compartido y envió un dato a un servidor externo.
- Por dónde entró: la vista previa aislada de ChatGPT aguantó. El hueco salió de combinar piezas: una biblioteca de fórmulas matemáticas (MathLive), cargada por un gráfico del chat, aceptaba mensajes de otras ventanas sin comprobar quién los mandaba y admitía HTML; con ese HTML se creaba un marco sin aislamiento que llevaba la identidad de chatgpt.com; y la política de seguridad de contenido (CSP) permitía cargar código de un dominio de terceros.
- Lo que no se sabe: Parameter no informa de ataques reales; sus pruebas se hicieron con cuentas propias. No se ha localizado una nota de OpenAI: la cronología es la de Parameter.
Qué cambia y qué no
- Para quien usa ChatGPT, nada que hacer: el arreglo está en la web de OpenAI, no en tu equipo.
- Sigue valiendo que un chat compartido es contenido de otra persona: conviene abrirlo con el mismo cuidado que un adjunto.
- Para quien hace webs, la lección es de diseño. Ninguna pieza bastaba sola; el fallo salió de juntarlas en una página con sesión iniciada.
Cómo saber si te afecta
Si usas ChatGPT en tu negocio:
- Revisa tus enlaces compartidos en los ajustes de ChatGPT, en el apartado de enlaces compartidos, y borra los que ya no hagan falta.
- Acuerda con tu equipo no compartir por enlace chats con datos de clientes o de la empresa.
Si tu web carga widgets, iframes o bibliotecas de terceros (chats de atención, editores, mapas, fórmulas, pagos):
- Busca en tu código los receptores de mensajes (`addEventListener('message'`) y comprueba que cada uno verifica el origen del mensaje antes de actuar. Parameter recomienda comprobar el origen y también la ventana exacta que lo envía.
- No conviertas en HTML lo que llega de otra ventana: trátalo como texto.
- Pon el atributo `sandbox` a los iframes cuyo contenido no controlas por completo.
- Repasa tu CSP: cada dominio permitido para cargar scripts es una entrada más. Parameter recuerda que la CSP es una defensa adicional, no la única.
- Prioriza las páginas con sesión (área de clientes, panel, tienda): ahí un fallo así da acceso a datos.
Relacionado: Falsos ChatGPT Ads y Gemini Ads van tras tu cuenta de anuncios
Fuentes
- Parameter, «Do the Math: How We Took Over ChatGPT Accounts», Mukul Goyal, 28 de octubre de 2026 (en inglés)
- The Hacker News, «A Shared ChatGPT Link Could Run Attacker Code in Your Session and Read Private Chats», 31 de octubre de 2026 (en inglés)
Actualizaciones: si OpenAI publica su propia nota o se conocen abusos reales, se añadirá aquí con su enlace.