Parameterは10月28日、ChatGPTの通常の共有で作った公開会話から、開いた人のchatgpt.comセッション内で任意のJavaScriptを実行できた件を公開した。確認した範囲では、会話一覧の取得、攻撃者と共有していない非公開会話の本文取得、その一部の外部送信ができた。アプリの導入やワークスペースへの参加は不要だった。安定した再現では共有ページでPreviewを1回押し、その後の版ではリンクを開くだけで発動し、自動の経路は別アカウントで3回再現している。
Preview自体は別オリジンのフレームに隔離され、親ページは直接読めなかった。グラフ表示が本体へ読み込むMathLiveが、送信元を十分に確認せずキーボードレイアウトとしてHTMLを受け取り、サンドボックスのないiframeをchatgpt.com上に作った。コンテンツセキュリティポリシーはインラインスクリプトを止めたが、許可済みだった第三者のスクリプト経由で実行に至った。報告は10月18日で、OpenAIは10月21日に再現して深刻度をP2からP1へ上げ、10月26日に両方のWebフロントエンドが問題のメッセージを拒否するよう直し、報奨金は合計5,000ドルだった。
いま同じ手順で読める状態ではない。10月26日より前に、ログイン中へ不明な共有リンクを開いていれば、その時点の会話へ届いていた可能性がある。ソースや顧客情報をチャットに置く運用では共有範囲を見直し、同じ形のUIを自作するときは、フレーム間メッセージの送信元検証と、信頼できないHTMLから作る文書のサンドボックスを分けて確認する。