Una investigación de ciberseguridad revela que un enlace aparentemente legítimo de ChatGPT podía ejecutar código malicioso y acceder a conversaciones privadas de otros usuarios. OpenAI corrigió la vulnerabilidad el 26 de octubre de 2026, después de clasificarla como un fallo de gravedad crítica.
Una vulnerabilidad de seguridad en ChatGPT permitió a investigadores demostrar que un atacante podía acceder a conversaciones privadas de otros usuarios mediante un simple enlace compartido. El fallo afectaba a la versión web de la plataforma de inteligencia artificial de OpenAI y podía aprovecharse sin necesidad de instalar programas maliciosos ni obtener previamente la contraseña de la víctima.
El descubrimiento fue realizado por investigadores de la empresa de ciberseguridad Parameter, que comunicaron el problema a OpenAI el 18 de octubre de 2026 a través de su programa de recompensas por vulnerabilidades.
La compañía tecnológica corrigió el fallo ocho días después, el 26 de octubre, y elevó su clasificación de gravedad de P2 a P1, la categoría más severa utilizada en este caso.
La investigación demostró que los atacantes podían utilizar una conversación compartida de ChatGPT para ejecutar código dentro de la sesión de una persona que hubiera iniciado sesión previamente en la plataforma.
El riesgo era especialmente grave porque el código podía actuar con los permisos de la propia víctima, consultar su historial de conversaciones y extraer información privada que nunca había compartido públicamente.
Los investigadores consiguieron demostrar esta capacidad mediante una prueba controlada entre cuentas de su propiedad.
No obstante, no existen pruebas presentadas en la investigación de que la vulnerabilidad haya sido explotada contra usuarios reales.
El caso, publicado por Parameter el 28 de octubre y recogido por The Hacker News el 31 de octubre, plantea nuevas preguntas sobre la seguridad de las plataformas de inteligencia artificial que almacenan conversaciones personales, documentos de trabajo e información potencialmente confidencial.
Un simple enlace compartido de ChatGPT podía convertirse en una amenaza
La vulnerabilidad aprovechaba una de las funciones más habituales de ChatGPT: la posibilidad de compartir conversaciones mediante enlaces públicos.
Estos enlaces permiten mostrar a otras personas el contenido de una conversación sin necesidad de copiar manualmente sus mensajes.
Se utilizan habitualmente en correos electrónicos, aplicaciones de mensajería, publicaciones en redes sociales y comunicaciones profesionales.
Los investigadores descubrieron que era posible preparar una conversación aparentemente normal que incluyera elementos capaces de desencadenar una secuencia de ejecución de código malicioso.
El enlace podía enviarse a una víctima como cualquier otra conversación compartida.
El usuario no tenía que descargar archivos, instalar extensiones, incorporarse a un espacio de trabajo ni introducir sus credenciales en una página fraudulenta.
En la primera versión del ataque, bastaba con abrir el enlace y pulsar una vez el botón de vista previa de ChatGPT.
Posteriormente, los investigadores consiguieron modificar la demostración para que la vista previa se abriera automáticamente.
Con esta segunda variante, la simple apertura del enlace podía activar el ataque.
Esta circunstancia convertía la vulnerabilidad en un problema especialmente delicado: una función legítima de colaboración podía utilizarse como vehículo para comprometer una sesión privada.
Los investigadores lograron leer conversaciones que nunca habían sido compartidas
La demostración realizada por Parameter no se limitó a ejecutar código dentro de una página.
Los especialistas comprobaron que podían utilizar la sesión autenticada de la víctima para acceder a funciones internas de ChatGPT.
Durante la prueba, el código malicioso consiguió consultar la lista de conversaciones recientes de una cuenta.
Después, abrió una conversación privada que no había sido compartida con el atacante.
Finalmente, envió una pequeña parte de su contenido a un servidor controlado por los propios investigadores.
La prueba confirmó que el fallo permitía superar la separación entre una conversación pública compartida y el historial privado de otra persona.
La información no se obtuvo mediante una captura de pantalla ni copiando únicamente el texto visible.
El código utilizó directamente las interfaces internas de comunicación de ChatGPT, aprovechando que se ejecutaba dentro de una sesión ya autenticada.
Esto ampliaba considerablemente las posibilidades del ataque.
Según Parameter, la capacidad demostrada no estaba limitada a leer conversaciones.
En principio, el código podía realizar otras acciones disponibles para la cuenta comprometida, siempre dentro de los permisos y funcionalidades accesibles desde la sesión web.
La empresa resumió el alcance del problema señalando que podía actuar en nombre de la cuenta de la víctima.
La consecuencia más preocupante era que el atacante no necesitaba conocer la contraseña: aprovechaba una sesión que el usuario ya había abierto legítimamente.
Cómo funcionaba la vulnerabilidad de seguridad de ChatGPT
El ataque combinaba varias funciones que, utilizadas por separado, tenían finalidades legítimas.
El punto de partida era una conversación compartida que contenía un bloque de código HTML.
ChatGPT dispone de una función de vista previa que permite representar determinados contenidos HTML como pequeñas páginas web.
Esta capacidad resulta útil para visualizar interfaces, prototipos y otros elementos interactivos.
Por razones de seguridad, el contenido se ejecuta dentro de un entorno aislado del resto de la aplicación.
Ese aislamiento, conocido como sandbox, busca impedir que el código de una vista previa pueda acceder a información de la página principal de ChatGPT.
La investigación de Parameter determinó que el entorno aislado funcionaba, pero que otra función de la aplicación permitía atravesar indirectamente esa barrera.
El problema surgía de la interacción entre la vista previa y una biblioteca utilizada para mostrar elementos matemáticos.
MathLive, la biblioteca que abrió una puerta inesperada
La conversación maliciosa también incluía un gráfico interactivo.
Al representar ese gráfico, ChatGPT cargaba una biblioteca matemática denominada MathLive en la página principal de la aplicación.
MathLive incluye funciones relacionadas con la representación y edición de expresiones matemáticas.
Entre ellas se encuentra la posibilidad de utilizar un teclado matemático en pantalla.
Para gestionar determinadas operaciones, la biblioteca mantenía un mecanismo que recibía mensajes entre distintos componentes del navegador.
El problema consistía en que ese mecanismo aceptaba determinados mensajes sin comprobar adecuadamente su procedencia.
En una aplicación web, los mensajes entre ventanas o marcos deben validarse para impedir que un componente no confiable envíe instrucciones peligrosas a otro que dispone de mayores privilegios.
Según los investigadores, MathLive aceptaba mensajes relacionados con la configuración del teclado matemático aunque procedieran de un marco diferente.
Además, esos mensajes podían incluir contenido HTML sin procesar.
La combinación permitió que el contenido de la vista previa enviara información maliciosa a la página principal de ChatGPT.
El fallo no consistía simplemente en permitir HTML dentro de una conversación, sino en aceptar ese contenido en un componente que no debía confiar en su origen.
El ataque consiguió superar el aislamiento de seguridad del navegador
Una vez que el mensaje alcanzaba la biblioteca matemática, el contenido HTML podía introducirse en un contexto de mayor confianza.
Según la investigación, los atacantes utilizaron ese mecanismo para crear un nuevo marco que el navegador trataba como parte del dominio principal de ChatGPT.
Esta circunstancia resultaba fundamental.
La vista previa original estaba aislada y no podía consultar las conversaciones privadas del usuario.
Sin embargo, el nuevo marco creado mediante la vulnerabilidad no conservaba las mismas restricciones.
El navegador lo trataba como contenido perteneciente al entorno de ChatGPT, lo que permitía acceder a funciones disponibles para la sesión autenticada.
En términos de seguridad, el problema suponía una ruptura de la separación entre contenido no confiable y contenido privilegiado.
Esa separación es esencial en aplicaciones que permiten mostrar código, documentos o elementos interactivos creados por terceros.
El caso demuestra cómo diferentes componentes pueden ser seguros individualmente y, aun así, generar una vulnerabilidad grave cuando interactúan de manera inesperada.
Por qué apareció YouTube en la cadena del ataque
Otro elemento llamativo de la investigación fue la utilización de YouTube durante la demostración.
ChatGPT dispone de una política de seguridad de contenidos que limita los lugares desde los que una página puede cargar determinados recursos.
Este mecanismo, conocido como Content Security Policy (CSP), busca reducir el riesgo de ejecución de código no autorizado.
La política bloqueaba la ejecución directa de determinados scripts insertados en la página.
Sin embargo, permitía cargar recursos procedentes de YouTube.
Los investigadores aprovecharon esa autorización para completar la ejecución del código dentro del contexto comprometido.
YouTube no fue identificado como el origen de la vulnerabilidad ni como responsable del ataque.
Su papel consistió en proporcionar una vía permitida por la política de seguridad de contenidos.
Parameter subrayó que bloquear únicamente ese recurso no habría solucionado el problema principal.
La vulnerabilidad fundamental seguía siendo la posibilidad de introducir HTML no confiable en la página principal mediante mensajes que no verificaban correctamente su procedencia.
Por tanto, la solución debía corregir el mecanismo que permitía atravesar la frontera de seguridad.
OpenAI recibió el aviso el 18 de octubre y corrigió el fallo ocho días después
La investigación siguió un proceso de divulgación responsable.
Parameter comunicó la vulnerabilidad a OpenAI el 18 de octubre de 2026 a través de su programa de recompensas por fallos de seguridad.
Este tipo de programas permite que investigadores externos comuniquen problemas técnicos para que las empresas puedan corregirlos antes de su difusión pública.
Inicialmente, el problema recibió una clasificación de gravedad P2.
Sin embargo, después de reproducir la ejecución de código y la prueba de acceso a conversaciones privadas, OpenAI elevó la gravedad a P1.
La clasificación reflejaba el impacto potencial del fallo sobre la confidencialidad y seguridad de las cuentas.
Según Parameter, OpenAI desplegó la corrección en dos versiones de la interfaz web de ChatGPT.
El 26 de octubre, ambas versiones ya rechazaban los mensajes utilizados para activar la vulnerabilidad.
Los investigadores publicaron los detalles de su trabajo el 28 de octubre, una vez aplicada la solución.
El medio especializado The Hacker News difundió el caso el 31 de octubre.
Qué corrigió OpenAI para impedir nuevos ataques
La investigación identificó tres condiciones que habían permitido explotar la vulnerabilidad.
La primera era que MathLive aceptaba determinados mensajes sin verificar correctamente qué componente los había enviado.
La segunda consistía en que esos mensajes podían transportar contenido HTML sin procesar.
La tercera era que el HTML podía crear un marco que no quedaba sometido a las restricciones de aislamiento previstas.
La combinación de estos tres factores permitió que un contenido procedente de una vista previa alcanzara el contexto principal de ChatGPT.
Según Parameter, la corrección desplegada por OpenAI hizo que las versiones afectadas rechazaran los mensajes necesarios para ejecutar el ataque.
El resultado fue la interrupción de la cadena utilizada en la demostración.
La investigación destaca que corregir únicamente la carga del script externo habría sido insuficiente.
La solución debía impedir que un componente no confiable introdujera contenido peligroso en otro con mayores privilegios.
El problema demuestra que la seguridad de una aplicación depende tanto de sus componentes individuales como de las reglas que controlan la comunicación entre ellos.
OpenAI pagó 5 000 dólares por el descubrimiento
El hallazgo fue comunicado mediante el programa de recompensas de seguridad de OpenAI.
Según Parameter, la empresa tecnológica abonó 5 000 dólares por el informe.
Estos programas, conocidos como bug bounty, permiten que especialistas independientes identifiquen vulnerabilidades y reciban compensaciones económicas por comunicarlas de forma responsable.
Su objetivo es facilitar que los problemas se corrijan antes de que puedan ser utilizados por delincuentes.
En este caso, la colaboración permitió identificar y solucionar una vulnerabilidad con capacidad demostrada para comprometer la privacidad de las conversaciones.
El pago también confirma que el descubrimiento fue gestionado mediante un procedimiento formal de comunicación de fallos.
La investigación constituye un ejemplo de cómo la colaboración entre empresas tecnológicas y especialistas externos puede contribuir a detectar riesgos que no habían sido identificados previamente.
No existen pruebas de que el fallo se utilizara contra usuarios reales
Uno de los aspectos más importantes del caso es distinguir entre una vulnerabilidad demostrada y un ataque real confirmado.
Parameter consiguió reproducir técnicamente el acceso a conversaciones privadas.
Sin embargo, la empresa no ha informado de casos en los que delincuentes hayan utilizado este fallo para acceder a cuentas de usuarios reales.
La prueba se desarrolló de manera controlada utilizando cuentas separadas.
Los investigadores no necesitaron acceder a conversaciones de personas ajenas para demostrar el problema.
Por tanto, no sería correcto afirmar que se produjo una filtración masiva de historiales de ChatGPT.
Tampoco existe información en la investigación que permita establecer cuántos usuarios pudieron estar expuestos.
La vulnerabilidad tenía un alcance potencial importante, pero el impacto real no está documentado en los materiales publicados.
Lo demostrado es que el ataque era técnicamente posible antes de la corrección, no que se haya producido un robo generalizado de conversaciones privadas.
Esta distinción resulta esencial para valorar adecuadamente la gravedad del incidente sin generar una alarma injustificada.
Qué información podría haber quedado expuesta
La demostración de Parameter permitió acceder a una conversación privada que no había sido compartida con el atacante.
Esto evidencia un riesgo para cualquier información que pudiera encontrarse en el historial de una cuenta.
Los usuarios utilizan ChatGPT para tareas muy diferentes.
Algunas conversaciones contienen preguntas generales, consultas educativas o textos sin información sensible.
Otras pueden incluir documentos profesionales, proyectos empresariales, datos personales o información confidencial introducida voluntariamente por sus titulares.
La gravedad de un acceso no autorizado depende, entre otros factores, del contenido de las conversaciones comprometidas.
En la prueba realizada por Parameter, el código consiguió consultar el historial y enviar una pequeña parte de una conversación a un servidor externo.
La vulnerabilidad podía comprometer la confidencialidad de información almacenada en ChatGPT, aunque la investigación no documenta una extracción real de datos de usuarios ajenos al experimento.
El incidente recuerda la importancia de evaluar qué información se introduce en cualquier servicio digital.
Los enlaces compartidos no eran peligrosos por sí mismos
El descubrimiento no significa que todos los enlaces compartidos de ChatGPT fueran maliciosos.
La vulnerabilidad requería una conversación especialmente preparada para activar la secuencia descrita por los investigadores.
Un enlace compartido normal no ejecutaba necesariamente ese comportamiento.
El riesgo aparecía cuando un atacante combinaba contenidos concretos capaces de aprovechar la interacción entre la vista previa y la biblioteca matemática.
Además, el problema fue corregido por OpenAI el 26 de octubre, según la información publicada por Parameter.
No existe motivo para considerar que cualquier conversación compartida de ChatGPT permita actualmente acceder al historial privado de otros usuarios mediante este fallo ya corregido.
La investigación tampoco recomienda dejar de utilizar por completo la función de compartir conversaciones.
Lo relevante es que las aplicaciones mantengan controles adecuados para impedir que contenidos creados por terceros obtengan permisos que no les corresponden.
Qué deben hacer ahora los usuarios de ChatGPT
Según la investigación, los usuarios no necesitan instalar ninguna actualización ni restablecer sus cuentas para corregir esta vulnerabilidad concreta.
La solución fue aplicada directamente por OpenAI en su infraestructura web.
Tampoco se ha indicado que sea necesario cambiar las contraseñas como consecuencia de este hallazgo.
No obstante, las recomendaciones generales de seguridad siguen siendo importantes.
Conviene mantener activados los mecanismos de protección disponibles para la cuenta y desconfiar de enlaces recibidos de remitentes desconocidos.
También resulta prudente revisar cuidadosamente la información confidencial que se comparte en servicios digitales.
Estas medidas no sustituyen las obligaciones de seguridad de las empresas tecnológicas.
En este caso, la responsabilidad de corregir el fallo correspondía a OpenAI, porque la vulnerabilidad se encontraba en el funcionamiento de su aplicación web.
El fallo reabre el debate sobre la privacidad en la inteligencia artificial
El crecimiento de los asistentes de inteligencia artificial ha transformado la forma en que millones de personas trabajan, estudian y buscan información.
Las plataformas conversacionales permiten realizar tareas complejas y conservar historiales de consultas.
Sin embargo, esta funcionalidad también convierte las cuentas en repositorios de información que pueden resultar atractivos para los atacantes.
La investigación de Parameter demuestra que un fallo en la interacción entre componentes aparentemente secundarios puede comprometer funciones especialmente sensibles.
El problema no surgió de una vulnerabilidad directa en el sistema de contraseñas.
Tampoco requirió que la víctima entregara voluntariamente sus credenciales.
El ataque aprovechaba la confianza que el navegador depositaba en una página legítima de ChatGPT y la posibilidad de ejecutar código dentro de una sesión autenticada.
Este tipo de vulnerabilidades obliga a prestar especial atención a las funciones que permiten mostrar contenidos creados por terceros.
Las vistas previas, los gráficos interactivos y las bibliotecas externas pueden ampliar las capacidades de una aplicación.
Pero también incrementan la complejidad de sus mecanismos de seguridad.
La seguridad de ChatGPT, una cuestión esencial para usuarios y empresas
La importancia del incidente va más allá de la vulnerabilidad concreta que ya ha sido corregida.
Cada vez más usuarios recurren a herramientas de inteligencia artificial para desarrollar actividades profesionales y personales.
Las empresas también utilizan estos servicios para redactar documentos, analizar información y organizar tareas.
En este contexto, la confidencialidad de las conversaciones adquiere una relevancia especial.
Los usuarios necesitan confiar en que los contenidos privados no pueden ser consultados por terceros mediante funciones públicas de la plataforma.
La investigación de Parameter puso de manifiesto que esa separación podía romperse mediante una combinación específica de componentes.
OpenAI respondió con una corrección que, según los investigadores, eliminó la posibilidad de reproducir el ataque.
El caso demuestra tanto la importancia de detectar vulnerabilidades antes de que sean explotadas como la necesidad de mantener controles de seguridad rigurosos en servicios que almacenan información personal y profesional.
Una vulnerabilidad crítica corregida antes de conocerse ataques reales
El incidente descubierto en ChatGPT reúne varios elementos especialmente relevantes.
Un enlace compartido aparentemente legítimo podía activar código malicioso.
El ataque podía ejecutarse dentro de una sesión ya iniciada.
Los investigadores demostraron que era posible consultar conversaciones privadas que nunca habían sido compartidas.
Y todo ello podía ocurrir sin que la víctima descargara archivos ni facilitara su contraseña.
OpenAI corrigió la vulnerabilidad el 26 de octubre de 2026, ocho días después de recibir el aviso de Parameter.
La empresa de ciberseguridad publicó posteriormente los detalles técnicos y confirmó que la prueba se había desarrollado de forma controlada.
No existen pruebas aportadas de que delincuentes hayan explotado el fallo contra usuarios reales.
Por tanto, el episodio debe entenderse como una vulnerabilidad grave demostrada y corregida, no como una filtración masiva confirmada.
La investigación deja una advertencia importante para el sector tecnológico: las herramientas de inteligencia artificial necesitan mecanismos de aislamiento capaces de resistir no solo ataques directos, sino también combinaciones inesperadas de funciones legítimas.
La confianza en ChatGPT y en otras plataformas de inteligencia artificial dependerá, en buena medida, de su capacidad para detectar, corregir y explicar con transparencia los fallos que puedan comprometer la privacidad de sus usuarios.
Toqueteo
Toqueteo
Toqueteo