Forschende berichten, dass ein geteilter ChatGPT-Link ausreichte, um Code im Konto der Person laufen zu lassen, die ihn öffnet. Was der Bericht zeigt, was offen bleibt und was Betriebe für den Umgang mit KI-Konten daraus mitnehmen.
Ein Forschungsteam von Parameter beschreibt in einem Beitrag vom 28. Oktober 2026, wie sich in ChatGPT eine Kette aus mehreren Schwächen ausnutzen ließ: Wer einen geteilten Chat öffnete, ließ damit fremden Code in seinem eigenen, angemeldeten Konto laufen. Laut Bericht ist die Lücke behoben. Wir haben den Bericht gelesen und trennen, was die Forschenden zeigen, was offen bleibt und was Betriebe daraus ableiten. Zur Transparenz: Wir arbeiten in der Redaktion mit Claude von Anthropic, OpenAI ist also ein Wettbewerber des Werkzeugs, das wir nutzen. Den Anstoß gab der Newsletter TLDR DevOps vom 2. November 2026.
Die Forschenden schildern eine Kette aus mehreren Schwachstellen. Eine Grafik im Chat lädt die Bibliothek MathLive, die im Hauptfenster von ChatGPT auf Nachrichten lauscht, ohne den Absender zu prüfen. Eine vom Angreifer geschriebene HTML-Vorschau, die abgeschottet läuft, schickt dieser Bibliothek Nachrichten, die eigenen Code einschleusen. So entstand ein Rahmen ohne Abschottung, der die Identität von chatgpt.com erbte, und die Sicherheitsregeln für Skripte ließen sich über einen YouTube-Dienst umgehen. Der Angreifer musste ein Gespräch anlegen, es mit der normalen Teilen-Funktion veröffentlichen und den Link verschicken. In der stabilsten Fassung klickte das Opfer einmal auf „Preview“, in einer späteren öffnete sich die Vorschau automatisch, und das Öffnen des Links war der einzige Klick.
Was gezeigt wurde: Im Versuch konnten die Forschenden die 20 zuletzt aktualisierten Gespräche des Opfers auflisten, Nachrichteninhalt aus einem nie geteilten, privaten Gespräch abrufen und einen kleinen Wert an einen eigenen Server schicken. Die Forschenden schreiben außerdem, man könne „jede Aktion im Namen des Kontos“ ausführen. Gezeigt wird das in dem Beitrag nicht. Zeitplan: Gemeldet am 18. Oktober über das Prämienprogramm von OpenAI, am 21. Oktober von OpenAI nachvollzogen und von P2 auf P1 hochgestuft, am 26. Oktober laut Bericht beide Web-Oberflächen abgesichert, die Sache als gelöst markiert und insgesamt 5.000 Dollar Prämie gezahlt.
Der Bericht nennt weder die Zugehörigkeit der Forschenden noch, ob die Lücke außerhalb des Tests ausgenutzt wurde oder ob betroffene Nutzer informiert wurden. Die Bestätigung der Behebung kennen wir nur aus dem Bericht selbst, eine eigene Stellungnahme von OpenAI haben wir nicht gefunden. Außerdem passen Kopfzeile (behoben am 26. Oktober) und Datum des Beitrags (28. Oktober) nicht ganz zusammen, ohne dass der Bericht das erklärt. Wir haben die Lücke nicht selbst nachgeprüft.
Ab hier gilt: Das ist unsere Einschätzung, keine Studie. Die Lücke ist nach dem Bericht geschlossen, das Muster bleibt: Sobald Inhalte von Fremden im eigenen, angemeldeten Konto angezeigt werden, kann ein Fehler dort Folgen haben. Erstens: Behandle geteilte Chat-Links wie Dateianhänge. Wer ihn öffnet, vertraut dem Absender. Links von Unbekannten, auch freundlich verpackte, öffnest du besser nicht. Zweitens: Lege fest, was in KI-Chats gehört. Kundendaten, Passwörter, Zugangsdaten, Verträge und Preislisten gehören nicht in einen Chat, den im schlimmsten Fall jemand mitlesen kann. Im Versuch war genau der Chatverlauf das Ziel.
Drittens: Sichere die Konten. Schalte, wo es angeboten wird, die Zwei-Faktor-Anmeldung ein, nutze kein Sammelkonto für das ganze Team und prüfe, wer in deinem Betrieb welches KI-Konto hat. Das hätte diese Lücke nicht verhindert, begrenzt aber andere Wege zum Konto. Wie leicht KI-Werkzeuge Fremden gehorchen, wenn sie Inhalte verarbeiten, zeigt unser Beitrag „Ein Satz in der Mail genügt“.
Eine behobene Lücke sagt nichts über die nächste. Mehr Schutz entsteht, wenn du weniger Sensibles in KI-Chats ablegst, als wenn du auf den perfekten Anbieter wartest. Wie ein Anbieter-Vorfall bei Kundendaten aussehen kann, steht in unserem Beitrag zum Cloudflare-Vorfall.
Fünf Minuten: Schreibe auf, wer in deinem Betrieb welche KI-Konten nutzt, und prüfe bei jedem, ob die Zwei-Faktor-Anmeldung eingeschaltet ist. Drei Minuten: Sieh in einen deiner Chatverläufe und lösche, was dort nicht hingehört, etwa Kundennamen mit Daten oder Zugangsdaten. Zwei Minuten: Sag deinem Team einen Satz zur Regel: Geteilte Chat-Links von Unbekannten werden nicht geöffnet.
Dass Forschende so etwas melden und der Anbieter es innerhalb weniger Tage behebt, ist der gute Teil der Geschichte. Der unbequeme Teil: Wer ein KI-Konto nutzt, hat dort oft mehr abgelegt, als ihm bewusst ist.
Links prüfen, Inhalte begrenzen, Konten sichern. Das ist unsere Einschätzung, keine Studie.
Quellen: „We found a gap at OpenAI“, Parameter (Mukul Goyal, 28. Oktober 2026); Anlass: Newsletter TLDR DevOps vom 2. November 2026. Eine eigene Stellungnahme von OpenAI haben wir nicht gefunden. Die Einordnung für Betriebe ist unsere Einschätzung, wir haben die Lücke nicht selbst nachgeprüft.
Welches Modell für welche Aufgabe, welche Tools wirklich zählen und wie du richtig promptest — komplett lesbar, kein Download.
Jetzt gratis lesen →Wir gehen mit dir durch, welche KI-Konten in deinem Betrieb existieren, was darin liegt und wer sie nutzt, und legen Regeln für Links, Inhalte und Zugänge fest.