Sept vulnérabilités critiques exposent ChatGPT au vol de données et au détournement

Tenable a identifié sept vulnérabilités et techniques d’attaque lors de tests menés sur ChatGPT-4o d’OpenAI, dont certaines ont ensuite été retrouvées dans ChatGPT-5. Regroupées sous le nom de HackedGPT, ces sept failles exposent les utilisateurs à des risques de confidentialité en contournant les mécanismes de sécurité intégrés.

Bien qu’OpenAI ait corrigé une partie des vulnérabilités signalées, d’autres restent non résolues au moment de la publication, laissant certaines surfaces d’exposition ouvertes. Leur exploitation pourrait permettre à un attaquant de voler discrètement des données personnelles, notamment les conversations enregistrées et les historiques stockés par le modèle.

Quatre d’entre elles ont pu être reproduites dans ChatGPT-5 encore hier :

• Une injection de prompt indirecte via des sites de confiance,
• Une attaque 0-click en contexte de recherche,
• Une injection 1-click,
• Et une dissimulation de contenu malveillant,
• Deux autres, un contournement des mécanismes de sécurité et une injection de conversation, semblent toujours d’actualité mais n’ont pas encore été confirmées/ infirmées par OpenAI,
• La dernière, liée à la mémoire persistante, reste à évaluer.

Une nouvelle génération d’attaques contre l’IA : l’injection de requêtes indirecte

Ces vulnérabilités révèlent une nouvelle catégorie d’attaques baptisée injection de requêtes indirecte (Indirect Prompt Injection), dans laquelle des instructions cachées dans des sites web ou des commentaires externes trompent le modèle pour qu’il exécute des actions non autorisées. Ces failles affectent les fonctionnalités de navigation web et de mémoire de ChatGPT, qui traitent des données en ligne en temps réel et stockent des informations utilisateur, ouvrant ainsi la voie à des manipulations et des fuites de données.

Les chercheurs de Tenable ont démontré que ces attaques peuvent se produire silencieusement de deux manières :

• Attaques “0-click” : le simple fait de poser une question à ChatGPT peut déclencher la compromission.
• Attaques “1-click” : un simple clic sur un lien malveillant active des commandes cachées.

Une autre technique appelée injection de mémoire persistante (Persistent Memory Injection) permet à un attaquant d’enregistrer des instructions malveillantes dans la mémoire à long terme du modèle. Celles-ci restent actives après la fermeture de l’application, exposant des données privées au fil des sessions jusqu’à suppression manuelle. Ensemble, ces vulnérabilités démontrent comment un acteur malveillant pourrait contourner les mécanismes de protection d’OpenAI et accéder à l’historique privé d’un utilisateur.

HackedGPT : les sept vulnérabilités et techniques identifiées par Tenable

1. Injection de requêtes indirecte via des sites de confiance : Des attaquants dissimulent des commandes dans du contenu apparemment légitime (commentaires de blog, publications publiques). Lors de la navigation, ChatGPT exécute ces instructions cachées sans le savoir.
2. Injection indirecte “0-click” dans le contexte de recherche : L’utilisateur n’a rien à faire pour être exposé. Si ChatGPT consulte une page contenant du code malveillant caché, le simple fait de poser une question peut suffire à provoquer une fuite de données privées.
3. Injection de requêtes “1-click” : Un clic sur un lien piégé (ex. https://chatgpt.com/?q={Prompt}) peut amener ChatGPT à exécuter des actions malveillantes à son insu.
4. Contournement des mécanismes de sécurité : ChatGPT valide normalement les liens et bloque les sites dangereux. Les attaquants contournent cette vérification en utilisant des URL d’enrobage (“wrapper URLs”) déguisées (comme bing.com/ck/a?…), masquant la véritable destination malveillante.
5. Injection de conversation : ChatGPT repose sur deux systèmes : SearchGPT pour la navigation et ChatGPT pour la conversation. Un attaquant peut utiliser SearchGPT pour insérer des instructions cachées que ChatGPT interprétera ensuite comme faisant partie de l’échange utilisateur.
6. Dissimulation de contenu malveillant : Un bug de mise en forme permet de cacher du code malveillant dans des blocs de code ou du texte markdown. L’utilisateur voit un message normal, mais le modèle exécute quand même le contenu caché.
7. Injection de mémoire persistante : En exploitant la fonction de mémoire, un attaquant peut implanter des commandes durables. Celles-ci se réactivent à chaque session, provoquant une fuite continue de données jusqu’à effacement manuel.£

Les impacts potentiels

Des centaines de millions de personnes utilisent ChatGPT chaque jour pour le travail, la recherche ou la communication personnelle. Exploitées, ces failles pourraient permettre :

• D’insérer des commandes cachées dans les conversations ou la mémoire à long terme,
• De voler des données sensibles issues de l’historique de chat ou de services connectés (Google Drive, Gmail, etc.),
• D’exfiltrer des informations via la navigation web et les intégrations,
• De manipuler les réponses pour diffuser de la désinformation ou influencer les utilisateurs.

Tenable a mené cette recherche dans le cadre d’un processus de divulgation responsable. OpenAI a corrigé plusieurs des vulnérabilités signalées, mais certaines restent actives dans ChatGPT-5 ou non corrigées à ce jour.

Recommandations

Tenable conseille aux fournisseurs d’IA de renforcer leurs défenses contre les attaques par injection de requêtes, notamment en vérifiant le bon fonctionnement des mécanismes de sécurité (comme url_safe) et en isolant les fonctions de navigation, de recherche et de mémoire pour empêcher les attaques entre contextes.

L’entreprise recommande aux professionnels de la cybersécurité de considérer les outils d’IA comme de véritables surfaces d’attaque, et non comme de simples assistants. Elles peuvent pour cela auditer et surveiller les intégrations d’IA pour détecter manipulations et fuites de données, enquêter sur les requêtes ou sorties inhabituelles pouvant signaler une injection, tester et renforcer les défenses contre les vecteurs d’injection et d’exfiltration et établir une gouvernance claire et une classification des données pour l’usage de l’IA.