O código invasor herdava todas as permissões do site oficial. Ao rodar diretamente sob o domínio chatgpt.com, o script conseguia acionar as mesmas APIs internas que mostram o histórico do usuário, permitindo ler conversas particulares antigas, consultar documentos anexados ou alterar preferências da conta.
Do gráfico de matemática ao YouTube
A brecha se aproveitou de uma biblioteca chamada MathLive. Quando a conversa compartilhada exibia um gráfico interativo, o sistema carregava esse componente de fórmulas matemáticas de código aberto para desenhar o teclado virtual na tela.
O componente aceitava comandos externos sem verificar o remetente. O recurso de prévia de HTML do ChatGPT funciona em um ambiente isolado (sandbox), mas conseguia enviar mensagens (postMessage) para a página principal; a MathLive recebia essas instruções sem checar a origem e aceitava blocos de código sem tratamento de limpeza.
Um script do YouTube serviu de atalho para burlar as defesas da OpenAI. Como a política de segurança do site bloqueava códigos arbitrários mas liberava recursos de parceiros confiáveis, os pesquisadores usaram uma resposta do YouTube para executar o script no navegador e enviar trechos de chats privados para um servidor externo.
Correção imediata e status dos usuários
A OpenAI reproduziu o ataque e elevou a prioridade para o nível máximo. O alerta foi enviado em 18 de outubro e, após confirmar que a execução ocorria na prática, a desenvolvedora do ChatGPT subiu a classificação de P2 para P1, aplicando as travas de bloqueio no sistema entre os dias 22 e 26 de outubro.
