Un lien partagé pouvait lire vos conversations privées

Une conversation ChatGPT publique suffisait à exécuter du code dans la session de celui qui l'ouvre, et à lire un échange jamais partagé. Le défaut est corrigé depuis le 26 octobre, et aucune exploitation réelle n'est connue.

Actualité du 31 octobre 2026 · 1 min 35 · 2 sources · 14 affirmations sourcées

En 30 secondes

Ouvrir un lien de conversation partagée suffisait à exécuter du code avec les droits du compte connecté.
Le bac à sable de l'aperçu n'a pas cédé : c'est un composant de la page principale qui a accepté un message sans vérifier son expéditeur.
Le défaut est corrigé depuis le 26 octobre et aucune exploitation réelle n'est rapportée à ce jour.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliUn lien de conversation ChatGPT public pouvait exécuter du code dans la session connectée de la personne qui l'ouvre, avec les droits de son compte[1][2]
ÉtabliLe code pouvait lister les conversations récentes, ouvrir une conversation privée jamais partagée avec l'attaquant et envoyer un extrait vers un serveur contrôlé[1][2]
ÉtabliSignalement déposé le 18 octobre 2026, gravité relevée de P2 à P1, correction confirmée le 26 octobre sur deux versions du frontal web[1][2]
ÉtabliL'aperçu HTML s'exécute dans un cadre isolé sur une autre origine, et ce confinement n'a pas cédé[1]
ÉtabliUn graphique interactif de la conversation charge la bibliothèque MathLive dans la page principale, qui y installe un écouteur pour les messages de son clavier virtuel[1]
ÉtabliCet écouteur acceptait un message de n'importe quelle origine et laissait ce message porter du HTML brut[1][2]
ÉtabliLe HTML créait un cadre non isolé qui héritait de l'identité chatgpt.com et pouvait donc atteindre la page parente[1]
ÉtabliLa politique de sécurité du contenu bloquait le code en ligne mais autorisait YouTube ; un rappel JSONP de son point oEmbed a fourni le script final[1][2]
ÉtabliLa victime n'avait rien à installer, ni application, ni espace de travail, ni code à coller ; ouvrir le lien suffisait, avec un clic sur Aperçu dans la version la plus stable[1][2]
ÉtabliChaîne reproduite trois fois dans un compte distinct, l'alerte apparaissant environ 4,5 secondes après ouverture[1]
ÉtabliAucune exploitation réelle rapportée : la preuve sur une conversation privée a été faite entre comptes contrôlés par les chercheurs[1][2]
RapportéPrime totale de 5 000 dollars versée par OpenAI selon la chronologie des chercheurs[1]
ÉtabliLa cause n'est pas le bac à sable mais trois choix de conception : un message qui change un réglage sans vérifier l'expéditeur, du HTML accepté comme donnée, un document créé sans isolation[1]
RapportéOpenAI n'a pas publié d'analyse technique publique de la faille ; la description détaillée vient des chercheurs[1][2]

Transcription

Un simple lien de conversation ChatGPT, et le code de l'attaquant tourne dans votre session, sans installation ni mot de passe. Dans le test des chercheurs, l'alerte s'affichait au bout de 4,5 secondes.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Mais comment un lien partagé peut-il lire vos conversations ?

Le lien public s'ouvre comme une conversation ordinaire. L'aperçu HTML reste enfermé dans son cadre, mais un graphique a installé dans la page principale un écouteur qui accepte les messages de n'importe qui. Ce message crée un cadre non isolé au nom de chatgpt.com, et le code s'exécute dans la session.

Ce qui est établi : le confinement de l'aperçu a tenu, la chaîne a été reproduite trois fois, et OpenAI a corrigé le 26 octobre après avoir classé le signalement P1. Ce qui reste inconnu : aucune exploitation réelle n'est rapportée, combien de liens piégés ont circulé, et quels autres produits embarquent la même bibliothèque.

Trois réflexes. Un lien partagé reste le contenu d'un inconnu : ne l'ouvrez pas plus vite qu'un fichier reçu par courriel. Pour les équipes produit, vérifier l'origine de chaque message entre cadres, et ne jamais accepter de HTML brut par ce canal. Enfin, restreindre les sources de scripts autorisées au strict nécessaire.

Le bac à sable n'a pas cédé. Ce qui a cédé, c'est la confiance accordée à un message.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : ouvrez-vous les liens de conversations qu'on vous envoie ?