Präparierter ChatGPT-Link öffnete den Weg zum Konto
Sicherheitsforscher von Parameter Labs haben eine schwere Schwachstelle in den interaktiven HTML-Vorschauen von ChatGPT aufgedeckt. Über einen manipulierten Share-Link konnten Angreifer private Daten eines angemeldeten Nutzers abrufen und Aktionen in dessen Namen ausführen.
Die Funktion wurde früher als Canvas bezeichnet und stellt interaktive HTML-Anwendungen in einem eingebetteten Browserfenster dar. Ein solches Sandboxed-Iframe soll fremden Code isolieren und insbesondere den Zugriff auf OpenAI-Schnittstellen sowie private Kontodaten verhindern.
Diese Schutzschicht ließ sich jedoch durch eine Kette mehrerer Web-Schwachstellen umgehen. OpenAI hat die Lücke geschlossen und Parameter Labs eine Bug Bounty von 5.000 US-Dollar gezahlt. Ob die Schwachstelle zuvor von Kriminellen ausgenutzt wurde, ist nicht bekannt.
So funktionierte die Angriffskette
Ausgangspunkt war die JavaScript-Bibliothek MathLive, die ChatGPT für die Darstellung mathematischer Inhalte und Graphen verwendet. Deren virtuelle Tastatur ließ sich aus dem isolierten Iframe heraus über postMessage() auf der übergeordneten ChatGPT-Seite aufrufen.
postMessage() ermöglicht den Nachrichtenaustausch zwischen getrennten Browserfenstern. Der empfangende Code verarbeitete die Nachricht jedoch mit innerHTML. Dadurch konnte ein Angreifer eigenen HTML-Code in die übergeordnete Seite einschleusen.
| Angriffsschritt | Ausgenutzte Komponente | Auswirkung |
|---|---|---|
| Nachricht aus der HTML-Vorschau | postMessage() und MathLive | Kommunikation mit der übergeordneten Seite |
| Einschleusen von HTML | Unsichere Nutzung von innerHTML | Einfügen eines neuen Iframes |
| Umgehung der Isolation | Iframe ohne Sandbox-Beschränkungen | Ausführung außerhalb der vorgesehenen Schutzumgebung |
| Umgehung der CSP | Erlaubter YouTube-oEmbed-Endpunkt | JavaScript-Ausführung im ChatGPT-Kontext |
| Datenabfluss | ChatGPT-APIs und Bildreferenz | Abruf und Übertragung privater Daten |
Das eingeschleuste HTML führte nicht unmittelbar JavaScript aus. Es erlaubte aber das Anlegen eines weiteren Iframes ohne die ursprünglichen Sandbox-Beschränkungen. Damit war die zentrale Isolation der HTML-Vorschau ausgehebelt.
YouTube-Endpunkt half beim Umgehen der CSP
Als weitere Schutzschicht setzte OpenAI eine Content Security Policy ein. Eine CSP legt fest, aus welchen Quellen eine Webseite Skripte und andere Inhalte laden darf. Inline-Skripte waren blockiert, nur wenige externe Domains standen auf der Freigabeliste.
Zu diesen erlaubten Quellen gehörte YouTube. Dessen oEmbed-Endpunkt ließ sich dazu verwenden, JavaScript so zurückzugeben, dass es im Kontext von ChatGPT ausgeführt wurde. Der Angreifer erhielt damit Zugriff auf die von der Webanwendung erreichbaren Schnittstellen.
Private Daten konnten anschließend über ChatGPT-APIs abgerufen und über eine Bildreferenz an einen externen Server übertragen werden. Der Besuch eines präparierten Share-Links durch einen bereits angemeldeten Nutzer reichte aus. Eine zusätzliche Eingabe oder Bestätigung war laut der beschriebenen Angriffskette nicht erforderlich.
Mehrere einzeln begrenzte Schwächen in Nachrichtenverarbeitung, HTML-Einbettung und Inhaltsrichtlinien wurden gemeinsam zu einer vollständigen Kontoübernahme.
Sharing-Funktionen werden zum Sicherheitsrisiko
Der Vorfall zeigt, dass Freigabe- und Vorschaufunktionen nicht nur ein Datenschutzthema sind. Sie verarbeiten Inhalte außerhalb des eigentlichen Chats und erweitern damit die Angriffsfläche. Auch bei öffentlich auffindbaren geteilten KI-Chats entstanden Risiken gerade durch Funktionen, die den Austausch von Inhalten vereinfachen sollten.
Für Unternehmen im DACH-Raum ist das besonders relevant, wenn Beschäftigte vertrauliche Kunden-, Personal- oder Projektdaten in ChatGPT eingeben. Ein erfolgreicher Datenabfluss kann Melde- und Prüfpflichten nach der DSGVO auslösen. Entscheidend ist dabei nicht nur die Sicherheit des KI-Modells, sondern die gesamte Webanwendung einschließlich Sharing, Erweiterungen und eingebetteter Inhalte.
Die gezahlte Bug Bounty von 5.000 US-Dollar wirkt angesichts der möglichen Kontoübernahme vergleichsweise niedrig. Wann Parameter Labs die Lücke gemeldet hat und wie lange OpenAI für die Behebung benötigte, ist nicht dokumentiert.
Cloud-KI braucht technische und organisatorische Grenzen
Mandantenfähige Cloud-Dienste bündeln viele Kundenkonten in einer zentralen Plattform. Das macht Nutzung und Zusammenarbeit bequem, schafft aber zugleich ein attraktives Angriffsziel. Sandbox und CSP sind wichtige Schutzmechanismen, verhindern komplexe Angriffsketten jedoch nicht zuverlässig, wenn mehrere Komponenten unsicher zusammenspielen.
Unternehmen sollten deshalb Freigabelinks, interaktive Vorschauen und Erweiterungen separat in ihre Risikobewertung aufnehmen. Ebenso wichtig sind klare Vorgaben dazu, welche Daten in externe KI-Dienste eingegeben werden dürfen. Dass Identitäten und Berechtigungen zu einem zentralen Problem werden, zeigt auch die Warnung vor KI-Agenten als Insider-Risiko.
Selbst gehostete Open-Source-Modelle vermeiden diesen konkreten Angriffsweg über fremde Share-Links und ein zentrales ChatGPT-Webinterface. Sie sind deshalb nicht automatisch sicher, reduzieren aber die Abhängigkeit von Funktionen und Sicherheitsentscheidungen eines einzelnen SaaS-Anbieters. Dem stehen eigener Betriebsaufwand, Updates, Zugriffskontrollen und die Absicherung der lokalen Oberfläche gegenüber.