Investigadores de Permiso han revelado ChatGPhish, una técnica de inyección de prompts basada en el navegador. Este ataque explota la función de resumen de páginas de ChatGPT para convertir cualquier sitio web en una superficie de phishing, permitiendo que enlaces maliciosos, alertas de seguridad falsas y códigos QR aparezcan directamente dentro de la interfaz confiable de ChatGPT.

Una técnica de inyección de prompts basada en el navegador que transforma cualquier página web en una superficie de entrega de phishing al explotar la función de resumen de páginas de ChatGPT, renderizando enlaces controlados por atacantes, alertas de seguridad falsas y códigos QR directamente dentro de la interfaz confiable de ChatGPT.

Investigadores de Permiso han revelado el ataque denominado ChatGPhish. El ataque se basa en la misma lógica de transferencia de confianza demostrada anteriormente contra Microsoft Copilot, donde el contenido de un correo electrónico diseñado por un atacante podía manipular los resúmenes generados por la IA mediante Ataques de Inyección de Prompts Cruzados (XPIA).

ChatGPhish escala esa premisa sustituyendo el elemento limitado del correo electrónico por el navegador, donde pasas la mayor parte de tu jornada laboral. Cualquier página que visites y le pidas a ChatGPT que resuma (un README de GitHub, un portal de documentación, una publicación de blog o un panel de SaaS) puede transportar silenciosamente instrucciones maliciosas en la respuesta del modelo.

Vulnerabilidad de ChatGPT – Ataque ChatGPhish

Al añadir una pequeña carga útil de instrucciones a cualquier página web accesible públicamente, un atacante no autenticado puede influir en cómo ChatGPT estructura y renderiza su resultado de resumen.

Debido a que el renderizador de respuestas de chatgpt.com confía en los enlaces Markdown y las URL de imágenes provenientes de contenido resumido de terceros, quedan disponibles tres primitivas de ataque distintas:

• Rediseño de UI / phishing: Los enlaces Markdown controlados por el atacante se renderizan como elementos activos y clicables dentro de la interfaz de ChatGPT sin etiquetado de origen; tú no puedes distinguir las URL inyectadas por el atacante de las generadas por ChatGPT.
• Alertas de sistema falsificadas: El renderizador muestra texto del atacante estilizado como notificaciones legítimas de "seguridad de la cuenta", heredando la confianza visual de la propia interfaz del asistente.
• Pivote mediante código QR: Las imágenes de códigos QR renderizadas automáticamente y obtenidas de buckets S3 controlados por el atacante eluden todas las defensas de URL de escritorio (vistas previas al pasar el cursor, listas negras del navegador y comprobaciones de dominio del gestor de contraseñas), ya que el destino solo se hace visible después de escanearlo con un segundo dispositivo.
• Baliza de seguimiento pasivo: Las imágenes Markdown insertadas a través de acortadores de URL (por ejemplo, shorturl.at) se obtienen automáticamente en cada renderizado, filtrando tu dirección IP, User-Agent, cabecera Referer y tiempos de alta resolución a la infraestructura controlada por el atacante.

Lo que hace que ChatGPhish sea particularmente peligroso no es solo la inyección en sí, sino dónde aterriza el resultado. Como identifica OWASP LLM01:2025, el riesgo principal de la inyección de prompts es que los LLM no pueden distinguir fiablemente entre instrucciones legítimas y contenido proporcionado por un atacante e incrustado en los datos recuperados.

Una vez que ese contenido del atacante es procesado, aparece dentro de la ventana de respuesta de ChatGPT, con un estilo idéntico a la salida genuina del asistente, incluyendo alertas formateadas, enlaces clicables e imágenes integradas.

La política de mismo origen del navegador no ofrece protección porque el asistente de IA se ejecuta con tu contexto autenticado, lo que hace que los límites de seguridad web tradicionales sean irrelevantes.

Permiso envió el informe inicial de la vulnerabilidad a OpenAI a través de Bugcrowd el 29 de abril de 2026, citando que el "Renderizado de Markdown no confiable conduce a XSS, phishing y exfiltración de datos".

OpenAI respondió señalando que el informe no podía ser reproducido. Una entrega revisada el 1 de mayo de 2026, con pasos de prueba de concepto ampliados, fue posteriormente clasificada como un duplicado de un problema reportado previamente.

Tras una comunicación de seguimiento el 7 de mayo de 2026, aclarando las implicaciones más amplias de phishing, códigos QR y seguimiento pasivo, la investigación se publicó oficialmente el 29 de mayo de 2026.

Hasta que se aplique una separación clara de fuentes entre el contenido web recuperado y la salida renderizada del asistente, los equipos de seguridad deberían aplicar las siguientes mitigaciones:

• Evita usar las funciones de resumen de IA del navegador en páginas que contengan contenido generado por usuarios o no confiable (Reddit, READMEs públicos de GitHub, blogs).
• Restringe los permisos del navegador de la IA al mínimo necesario; requiere aprobación humana antes de cualquier interacción con enlaces dentro de las respuestas resumidas.
• Trata cualquier enlace clicable, imagen o alerta que aparezca dentro de un resumen de IA como potencialmente controlado por un atacante hasta que se muestre claramente la atribución del origen.
• Despliega filtrado semántico de entrada/salida y detección de anomalías en las superficies integradas de IA dentro de entornos empresariales.
• Monitoriza los registros de actividad del navegador de IA para detectar solicitudes inesperadas de obtención de imágenes hacia endpoints desconocidos o con URLs acortadas.

La investigación de ChatGPhish subraya un desafío estructural que enfrentan todos los sistemas de resumen de IA integrados en el navegador: mientras el contenido web controlado por un atacante pueda influir en la salida renderizada del asistente sin un etiquetado de origen explícito, el propio navegador seguirá siendo una superficie de entrega práctica y de baja barrera para el phishing, el pivoteo de dispositivos y el reconocimiento pasivo.

Fuentes:
https://cybersecuritynews.com/chatgpt-vulnerability-chatgphish-attack/