安全公司 Parameter 公开了一条 ChatGPT 漏洞利用链：攻击者把恶意对话用正常的分享功能发布出去，受害者只要在登录状态下打开这个 /share/ 链接，攻击代码就会以 chatgpt.com 的身份在其会话里运行，列出对话、读取从未分享过的私密对话并外传。Parameter 于 10 月 18 日通过 OpenAI 漏洞赏金计划提交，OpenAI 将等级从 P2 上调为 P1，10 月 26 日完成修复并支付 5,000 美元赏金；Parameter 称未发现真实攻击，用户无需任何操作。
核心要点速览
- ✓时间线：10 月 18 日提交，10 月 21 日 OpenAI 复现并从 P2 上调为 P1，10 月 26 日两套网页前端都修复，10 月 28 日公开（Parameter 原文）
- ✓门槛极低：受害者无需安装应用、加入项目或粘贴代码，自动预览版本里「打开链接」就是唯一操作，约 4.5 秒后执行（Parameter 口径）
- ✓根因有三：MathLive 不校验消息来源、消息可携带原始 HTML 作为键盘布局、该 HTML 能生成未沙箱化并继承 chatgpt.com 身份的 iframe；YouTube JSONP 只是绕过 CSP 的最后一步
- ✓赏金 5,000 美元；Simon Willison 评价这个价格对如此严重的漏洞「有点便宜」（博客）
- ✓MathLive 0.111.2（10 月 31 日）把消息改为默认同源校验，跨窗口不能再下发自定义 HTML 布局（changelog）
开发者 3 秒速决决策指标
把技术选型换算成你的开发预算
40 款主流编程套餐横向比价，支持输入/输出 Token 真实账单模拟
相关资源与官方项目出处
免代理直达深度技术解析与实战评估
核心背景与行业痛点
ChatGPT 的对话分享链接通常被当成「只读、安全」的东西，随手发在邮件、群聊和社交平台。安全公司 Parameter 的研究员 Mukul Goyal 在 10 月 28 日发文披露，这个看似无害的入口在 10 月 26 日修复前可以变成账号接管通道：攻击者发布一段精心构造的公开对话，任何登录用户打开链接后，攻击代码就以 chatgpt.com 的身份运行。可执行内容越多，分享页就越像认证攻击面。
架构亮点与底层机制
利用链由两个单独看都无害的功能拼成。对话里的交互图表会在主页面加载数学库 MathLive，它会安装一个监听屏幕键盘消息的 postMessage 处理器；而对话里另一段 HTML 预览虽然运行在独立沙箱域名里，却能向主页面发消息。MathLive 不校验发送方，又允许消息把原始 HTML 当作键盘布局数据，这段 HTML 能创建一个未沙箱化、继承 chatgpt.com 身份的 iframe。内容安全策略（CSP）原本挡住了内联脚本，研究员用 YouTube JSONP 绕了过去。拿到执行权后，载荷直接调用 /backend-api/conversations 等已认证接口，列出对话、读取从未分享的私密对话并外传。
权威 Benchmark 与实测跑分对比
这是安全研究，没有跑分。可核实的数字来自 Parameter 原文时间线：10 月 13 日在生产代码上确认路径，10 月 18 日提交，10 月 21 日 OpenAI 复现并把等级从 P2 上调到 P1，10 月 22 日修好一套前端，10 月 26 日两套前端都拒绝相关消息并结案，赏金合计 5,000 美元。自动预览版本复现 3 次，约 4.5 秒触发。Parameter 称测试只在自有账号之间进行，未报告真实利用。
开发者实战落地与开箱指南
ChatGPT 用户无需操作。AI 产品团队可以自查：一是所有 postMessage 处理器都要校验 origin 和来源窗口，不要让跨窗口消息携带可渲染 HTML；二是把分享页当成认证攻击面，尽量只读且不复用查看者会话；三是 CSP 白名单里的 JSONP 端点会被拿来绕过。如果自己的应用用了 MathLive，可升级到 10 月 31 日发布的 0.111.2，它默认启用同源校验，并禁止跨窗口下发自定义布局。
即刻查看该技术对应模型与主流工具的实测差异，或一键测算团队 API 调用与 $20/月套餐盈亏平衡点。
讨论与评论
0登录后即可参与深度讨论
与广大 AI 开发者、工程师交流评测心得与前沿洞察