Jeden link do udostępnionej rozmowy w ChatGPT wystarczał, żeby przejąć konto. Luka załatana, co teraz w firmie

Ktoś przysyła Ci link do rozmowy w ChatGPT. Adres prawdziwy, zaczyna się od chatgpt.com/share. Otwierasz go, a ukryty w rozmowie kod czyta listę Twoich rozmów i wysyła ich treść na obcy serwer.

Tak wyglądał scenariusz, który w październiku 2026 r. pokazali badacze z Parameter. OpenAI załatało lukę 26 października. Nie musisz nic instalować ani resetować, poprawka jest po stronie OpenAI.

Lekcja jednak zostaje. Poniżej: co dokładnie się stało, czego to uczy firmę, która używa ChatGPT, i checklista na 20 minut dla zespołu.

Co pokazali badacze

Zespół Parameter (Parameter Labs) sprawdził, co da się zrobić zwykłym publicznym linkiem do rozmowy w ChatGPT, takim, jaki tworzy przycisk „Udostępnij”.

Okazało się, że sporo. Odpowiednio przygotowana rozmowa uruchamiała kod w przeglądarce osoby, która ją otworzyła, i to w jej zalogowanej sesji ChatGPT. W teście ten kod:

• wylistował rozmowy ofiary,
• pobrał treść prywatnej rozmowy, której ofiara nikomu nie udostępniała,
• wysłał te dane na zewnętrzny serwer.

Badacze piszą, że w praktyce mogli wykonać każdą czynność w imieniu konta ofiary. Stąd określenie „przejęcie konta”. To ich ocena, wyprowadzona z tego, że kod działał w zalogowanej sesji. Sprawdzone w teście były trzy rzeczy z listy wyżej.

Ile musiała zrobić ofiara? Niewiele. Nie instalowała niczego, nie dołączała do żadnego projektu, nie wklejała kodu. W najstabilniejszej wersji ataku wystarczało otworzyć link i raz kliknąć „Podgląd” (Preview). W późniejszej wersji podgląd otwierał się sam, więc wystarczało samo otwarcie linku.

Link można było podesłać mailem, na czacie, w zgłoszeniu do supportu albo w poście w mediach społecznościowych.

Oś czasu w skrócie

• 13 października: badacze potwierdzają, że ścieżka ataku działa.
• 16 października: działa przez publiczny link, między osobnymi kontami i przestrzeniami roboczymi.
• 18 października: zgłoszenie do programu bug bounty OpenAI.
• 21 października: OpenAI odtwarza błąd i podnosi jego wagę z P2 na P1, najwyższą kategorię w programie.
• 22–23 października: częściowe poprawki.
• 26 października: obie wersje frontendu poprawione, zgłoszenie zamknięte. Osiem dni od zgłoszenia.
• 28 października: Parameter publikuje opis, już po poprawce.

Za zgłoszenie badacze dostali łącznie 5 000 USD. Simon Willison, niezależny komentator branży, uznał na swoim blogu, że to trochę tanio jak na tak poważną lukę.

Dla ciekawych: jak to działało

Atak łączył w jednej rozmowie dwie funkcje: wykres (oparty na bibliotece MathLive) i podgląd HTML. Sam podgląd był odizolowany od reszty strony. Problem w tym, że MathLive przyjmował wiadomości od dowolnego nadawcy i wstawiał z nich kod na główną stronę ChatGPT.

Badacze porównują to do szczeliny na listy między dwoma oknami. Ktoś wrzucał list przez szczelinę, a odbiorca nie sprawdzał, od kogo jest. Tyle techniki, reszta tekstu jest bez niej.

Czy to dotyczy Ciebie?

Bezpośrednio raczej nie. To był test badaczy, a nie atak na ludzi. Kradzież prywatnej rozmowy pokazali między własnymi kontami, a według The Hacker News nie ma zgłoszeń, żeby ktoś wykorzystał lukę naprawdę. Poprawka działa po stronie OpenAI, niczego nie musisz aktualizować.

Uwaga na jedno zdanie z pomocy OpenAI: „Link nie zapewnia dostępu do konta twórcy”. To prawda, tylko że ta luka dotyczyła konta osoby, która link otwiera, a nie tej, która go stworzyła.

I to jest powód, żeby poświęcić tej sprawie 20 minut. Nie z powodu tej jednej luki, tylko z powodu nawyku, który ona obnaża.

Link do rozmowy z AI to nowy załącznik od obcego

Przez lata uczyliśmy zespoły: nie klikaj w link od banku, sprawdź domenę, nie otwieraj załącznika od nieznajomego. Ta historia pokazuje, że phishing w świecie AI może wyglądać zupełnie inaczej.

Zamiast fałszywego banku dostajesz wiadomość „zobacz, co mi ChatGPT odpowiedział na Twoje pytanie”. Adres był prawdziwy, na domenie chatgpt.com. Rada „sprawdź domenę” w tym przypadku nic nie dawała.

Dlatego zasada dla zespołu brzmi tak: cudze linki do rozmów z AI traktujemy jak załączniki od obcych. Od znanej osoby, w oczekiwanej sprawie, otwieramy. Od nieznajomego, w zgłoszeniu do supportu, w komentarzu pod postem, nie otwieramy w przeglądarce, w której jesteśmy zalogowani do ChatGPT firmy.

To samo dotyczy linków do rozmów z innych asystentów AI. Każda nowa funkcja, która pozwala pokazać cudzą treść w Twojej zalogowanej sesji, to potencjalnie podobna furtka. O pokrewnej rodzinie ataków, w których treść od obcego steruje AI, pisaliśmy w tekście o prompt injection.

Czy ChatGPT jest bezpieczny dla danych firmy? Zależy, co tam trzymacie

Atak celował w historię rozmów. To dobry moment, żeby zadać pytanie: co właściwie leży w naszych czatach?

W małej firmie zwykle sporo. Oferty z cenami, maile do klientów, fragmenty umów, dane osobowe, wyniki finansowe. Każda z tych rzeczy trafiłaby do atakującego razem z listą rozmów.

Kilka prostych reguł:

• Nie wklejaj haseł, kluczy API ani danych logowania. Nigdy, w żadnym narzędziu AI.
• Dane osobowe klientów anonimizuj przed wklejeniem. Do napisania maila AI nie potrzebuje numeru PESEL ani adresu.
• Umowy i dokumenty finansowe wklejaj tylko na koncie firmowym, nie prywatnym.
• Stare rozmowy z wrażliwymi danymi usuwaj, jeśli nie są już potrzebne.

Jeśli chcesz spisać to na jednej stronie dla całego zespołu, mamy gotowy punkt wyjścia w tekście o polityce AI w firmie.

ChatGPT Business vs konta prywatne pracowników

Najpierw uczciwie: ChatGPT Business nie chronił przed tą luką. Badacze potwierdzili, że łańcuch działał między osobnymi kontami i przestrzeniami roboczymi. Pracownik na koncie Business, który otworzyłby złośliwy link, byłby tak samo narażony.

Przewaga planu Business (dawniej ChatGPT Team) leży gdzie indziej, w kontroli nad linkami:

• Link z konta prywatnego może otworzyć każdy, kto go ma.
• Link utworzony w przestrzeni Business otworzą tylko uprawnieni członkowie tej przestrzeni. Pracownik nie wystawi więc rozmowy z danymi klienta na cały internet jednym kliknięciem.
• Administrator decyduje, czy członkowie przestrzeni w ogóle mają dostęp do linków z kont prywatnych. To zmniejsza liczbę miejsc, przez które obcy link może trafić do firmowego konta.

Do tego dochodzi rzecz oczywista: rozmowy firmowe są na koncie firmy, a nie na prywatnym koncie pracownika, który za pół roku może odejść.

Konto ChatGPT współdzielone przez kilku pracowników: dlaczego nie

Jedno konto Plus na trzy osoby wygląda na oszczędność. W praktyce każdy widzi rozmowy pozostałych, nie da się ustalić, kto co udostępnił, a jedno kliknięcie w złośliwy link naraża historię całego zespołu naraz. Hasło znają wszyscy, więc trudno je też porządnie chronić.

Jak włączyć 2FA w ChatGPT (MFA krok po kroku)

Zanim ścieżka, jedno zastrzeżenie. Uwierzytelnianie dwuskładnikowe nie zatrzymałoby tej konkretnej luki. To nasz wniosek z mechanizmu ataku: kod działał w sesji, w której ofiara była już zalogowana, więc nie musiał się logować i nie trafiał na drugi składnik.

MFA i tak warto włączyć, bo chroni przed najczęstszym scenariuszem: ktoś wyłudza lub zgaduje hasło i loguje się na Twoje konto z innego miejsca.

Ścieżka w ChatGPT:

1. Wejdź w Ustawienia → Zabezpieczenia i logowanie.
2. Wybierz Uwierzytelnianie wieloskładnikowe (MFA).
3. Wybierz metodę: aplikacja uwierzytelniająca, powiadomienie push, SMS lub WhatsApp, albo klucz dostępu (passkey).

Trzy rzeczy, o których warto wiedzieć:

• MFA zaczyna działać przy następnym logowaniu.
• E-mail nie jest metodą MFA.
• Jeśli stracisz dostęp do wszystkich metod, odzyskanie konta przez support OpenAI może potrwać kilka dni. Dlatego dodaj więcej niż jedną metodę.

Checklista na 20 minut dla zespołu

1. Zasada linków. Powiedz zespołowi wprost: cudze linki do rozmów z AI otwieramy jak załączniki od obcych. Nieznany nadawca albo nieoczekiwana sprawa = nie klikamy w przeglądarce zalogowanej do ChatGPT.
2. MFA u każdego. Każda osoba, która używa ChatGPT do pracy, włącza uwierzytelnianie wieloskładnikowe. Kilka minut na osobę.
3. Przegląd własnych linków. W ChatGPT: Ustawienia → Kontrola danych → Udostępnione linki → Zarządzaj. Jest tam opcja usunięcia wszystkich linków naraz. Jak to zrobić w ChatGPT, Gemini i Claude, opisaliśmy w tekście o udostępnionych rozmowach z AI.
4. Po podejrzanym kliknięciu wyloguj sesje. Jeśli ktoś otworzył link, który budzi wątpliwości, niech wyloguje się ze wszystkich urządzeń w ustawieniach konta (jeśli ta opcja jest dostępna w jego wersji ChatGPT) i zmieni hasło.
5. Dane wrażliwe poza czatem. Hasła, klucze, pełne dane osobowe klientów nie trafiają do rozmów z AI.
6. Konto firmowe zamiast prywatnych. Jeśli zespół pracuje na prywatnych kontach albo na jednym współdzielonym, rozważ przejście na ChatGPT Business.
7. Podejrzany link zgłaszaj. W Polsce incydenty i podejrzane linki zgłasza się do CERT Polska przez incydent.cert.pl. CERT ma też praktyczny poradnik o hasłach i logowaniu.

Podsumowanie

Badacze z Parameter pokazali, że jeden link do rozmowy w ChatGPT mógł dać dostęp do cudzych rozmów. OpenAI załatało lukę w osiem dni, nikt nie zgłosił realnego ataku, a Ty nie musisz nic naprawiać.

Ważniejsza od samej luki jest zmiana nawyku. Link do rozmowy z AI wygląda niewinnie i ma prawdziwy adres, więc stare reguły „sprawdź domenę” nie wystarczają. Zasada „cudzy link jak załącznik od obcego”, porządek w tym, co trzymacie w czatach, konto firmowe i MFA to 20 minut pracy, które przydadzą się przy następnej takiej historii.

Chcesz wdrożyć ChatGPT Business i zasady korzystania z AI w firmie bez chaosu? Napisz do nas.