ChatGPT分享链接漏洞 P1级 赏金5000美元

时间：2026年10月26日OpenAI确认修复并发放赏金，10月28日Parameter研究团队公开完整技术复盘，10月31日Cloud Security Alliance发布专项研究说明，多家安全媒体跟进报道。 地点：线上服务，漏洞存在于ChatGPT网页端前端（chatgpt.com），研究方为Parameter安全研究团队。 人物：Parameter研究团队（技术复盘署名作者Mukul Goyal）、OpenAI安全与漏洞赏金团队。 事件详情：攻击者用ChatGPT常规的分享对话功能，把一段构造好的对话发布成公开链接，链接里同时放一张交互图表和一个HTML预览块。图表会加载第三方数学输入库MathLive，它在chatgpt.com主页面注册了一个postMessage监听器，却没有校验消息来源窗口和origin。攻击者控制的预览沙箱因此可以向主页面投递两条消息：一条把虚拟键盘布局替换成攻击者提供的HTML，一条让键盘显示出来。MathLive随后把这段HTML通过innerHTML写进主页面，而注入的HTML里带一个没有sandbox属性的iframe srcdoc，于是它继承了chatgpt.com的源身份。ChatGPT的内容安全策略允许加载YouTube脚本，YouTube的oEmbed接口又把回调参数原样写进JavaScript响应，攻击者借此绕过CSP执行任意脚本。脚本从页面的bootstrap数据里读出会话token与账号ID，直接调用ChatGPT已认证的接口，列出受害者的会话列表、读取从未分享过的私密对话，并把内容发到攻击者自建服务器。研究者称，理论上可以以受害者身份执行ChatGPT前端暴露的任何操作。OpenAI在10月21日复现问题，把严重级从P2上调到P1；10月26日确认两个网页前端版本都已拒绝攻击所需的跨frame消息，漏洞判定修复，同时发放总计5000美元赏金，赏金通过Bugcrowd上的OpenAI项目结算。修复在服务端完成，用户不需要做任何操作，也没有真实用户被利用的报告。 背景：ChatGPT的公开分享链接已经成为常见的内容分发方式，邮件、群聊、工单里都有人直接贴chatgpt.com的链接，读者对官方域名往往放松警惕。HTML预览功能的设计本意是隔离不可信代码，它确实跑在独立源的受限frame里，沙箱本身没有失守，问题出在主页面里一个第三方组件愿意听外来的消息。同类攻击在2026年已多次出现：Zenity Labs的AgentForger用精心构造的ChatGPT链接往Agent Builder里注入恶意提示，Check Point Research发现了经由ChatGPT代码执行容器跨账号传信的通道，MathLive本身今年还拿到过编号CVE-2026-54705的XSS公告。 影响：修复前，一个看似普通的分享链接就能变成带官方域名背书的攻击投递渠道，受害者不需要安装任何东西、加入工作区或点进陌生登录页。受害面不限于聊天记录，ChatGPT账号里往往还存着上传的文件、记忆、自定义GPT、连接器授权和工作区智能体。修复已在服务端全量生效，普通用户不必操作，但仍应把别人发来的AI会话分享链接当作不可信输入。企业侧则应把共享链接是否会自动执行内容、管理员能否关闭公开分享与预览、前端会话token能否被脚本读取，列为采购与安全评估问题。 总结：这次事件的要害不是沙箱被攻破，而是隔离区与主页面之间的通信通道没有做来源校验：一个交互图表带来的第三方数学库、一个负责渲染HTML的预览功能、一个未加sandbox的iframe，再加上一条宽松的CSP白名单，四件单独看都合理的东西拼在一起，就成了以受害者身份调用已认证接口的能力。OpenAI用八天完成修复并给出P1评级与5000美元赏金，响应速度值得肯定，但这也说明AI对话前端正在成为被持续研究的攻击面。Parameter给出的建议很朴素：postMessage监听器都要校验origin与source，消息数据不要当HTML写进DOM，动态创建的frame一律保持sandbox，会话token不要留在页面里。 常见问题： 问：现在点开别人分享的ChatGPT链接还会被劫持吗？ 答：不会。OpenAI已于10月26日在两个网页前端版本修复，服务端生效，用户无需操作。 问：这个漏洞的赏金是多少？ 答：Parameter团队共获5000美元赏金，10月26日随修复确认发放。 参考来源： Parameter研究团队技术复盘 Do the Math: How We Took over ChatGPT Accounts https://www.parameter.ai/labs/we-found-a-gap-at-openai Cloud Security Alliance研究说明 One Click Into Someone Else's ChatGPT: Cross-Frame Messaging Flaws（2026年10月31日） https://labs.cloudsecurityalliance.org/research/csa-research-note-chatgpt-share-link-session-hijack-20261031/ ShiftDelete英文版报道 ChatGPT Shared Link Flaw Let Attackers Read Private Chats https://en.shiftdelete.net/chatgpt-shared-link-flaw/ ExplainX安全技术分析 ChatGPT分享链接账户接管链复盘 https://www.explainx.ai/blog/chatgpt-share-link-account-takeover-mathlive-postmessage-csp-youtube-jsonp-fixed-oct-26-2026 Cybernoz转载The Hacker News报道 共享链接可在会话内执行攻击者代码 https://cybernoz.com/a-shared-chatgpt-link-could-run-attacker-code-in-your-session-and-read-private-chats/ Hacks.gr报道 OpenAI修复可读取私密对话的ChatGPT链接问题 https://en.hacks.gr/i-openai-diorthose-provlima-sto-chatgpt-poy-mporoyse-na-apokalypsei-idiotikes-synomilies-meso-kakovoyloy-syndesmoy/ OpenAI官方漏洞赏金项目页Bugcrowd 本次赏金在此结算 https://bugcrowd.com/engagements/openai 中文报道 一条链接即可接管ChatGPT账户：OpenAI紧急修复沙箱逃逸漏洞（2026年10月31日） https://www.80aj.com/2026/10/31/chatgpt-account-takeover/