ChatGPT曝沙箱绕过漏洞 分享链接即接管账号

时间：2026年11月1日 地点：美国（ChatGPT 网页端 chatgpt.com） 人物：Parameter Labs 研究团队（Mukul Goyal）、独立研究者 Simon Willison、OpenAI 安全响应团队 事件详情：Parameter Labs 在一篇技术复盘中披露，他们找到了一条点开链接就能接管 ChatGPT 账号的完整攻击链。攻击者先创建一条带交互式图表和 HTML 预览的恶意对话，用 ChatGPT 自带的分享功能公开，再把链接发给已登录的用户；对方只要打开这条公开分享链接，恶意脚本就会以 chatgpt.com 的身份、在对方已登录的会话里执行。攻击代码随后直接调用 ChatGPT 的已认证接口，枚举受害者的会话列表、读取一条从未分享过的私密对话内容，并把数据外传到攻击者服务器。受害者不需要安装 App、不需要加入项目、不需要粘贴代码，也不需要打开开发者工具，只要点开链接。OpenAI 已于10月26日修复该问题，并把报告定级为 P1，累计支付5000美元漏洞赏金。 背景：这条链路由几个单独看都很正常的功能拼起来。HTML 预览把任意代码放进沙箱 iframe；对话里的交互图表会加载数学库 MathLive，而 MathLive 自带虚拟键盘，它的 postMessage 监听器没有校验发送方来源，任何来源都能改写键盘布局；布局内容允许直接塞入 HTML，渲染时走的是 innerHTML 加上 Trusted Types 的信任策略，而不是净化；MathLive 随后又插入一个不带 sandbox 属性的 srcdoc iframe，新文档因此直接继承了 chatgpt.com 的身份。最后是 ChatGPT 的 CSP 拦住了内联脚本，但允许 YouTube，而 YouTube 的 oEmbed 接口会把回调参数原样写进响应，研究团队据此用 JSONP 拿到了 JavaScript 执行。Simon Willison 在10月31日的博客里转述了这份披露，并评价5000美元赏金对这么严重的问题来说有点便宜。 影响：这类漏洞的危险之处在于受害者几乎没有操作空间，不装任何东西也看不出异常，被攻击者拿到的却是对方已登录账号的完整权限，可以读私密对话、拿上传的文件，甚至以对方身份做更多操作。Parameter Labs 在证明阶段刻意只外传一小段数据，并说明注入代码早已拿到完整响应、可以读取全部内容。OpenAI 的复现与两次前端修复分批上线，直到10月26日才确认两条消息链路都被拒绝。行业层面的启示是，跨窗口通信必须校验来源，跨窗口配置不该承载原始 HTML，动态创建的文档应当保持沙箱状态，而 CSP 只能作为纵深防御，不能是最后一道防线。 总结：这是一起典型的单个功能都没错、组合起来才出事的漏洞。公开分享、HTML 预览、MathLive 虚拟键盘、动态建帧和 CSP 白名单，每一项单看都合理，放进同一页才暴露出跨沙箱的路径。漏洞已经修复，赏金也已发放，但它提醒所有把 AI 产品做成可分享、可预览形态的团队，任何能被分享出去的界面都应当按攻击者可控输入来对待。 常见问题： 问：ChatGPT账号真的会因为一个链接被接管吗？ 答：会。Parameter Labs 已复现，注入代码以 chatgpt.com 身份在受害者已登录会话中执行。 问：需要受害者做什么？ 答：只需打开分享链接，不需要安装App、加入项目或粘贴代码。 问：这个漏洞修好了吗？ 答：修了。OpenAI 于10月26日确认两个前端都已拒绝该消息链路，并按P1定级处理。 参考来源： Parameter Labs 技术复盘原文（一手披露） https://www.parameter.ai/labs/we-found-a-gap-at-openai Simon Willison 博客：How We Took Over ChatGPT Accounts https://simonwillison.net/2026/Oct/31/how-we-took-over-chatgpt-accounts/ Hacker News 讨论页 https://news.ycombinator.com/item?id=50314699 GDS 报道：ChatGPT账号被安全漏洞攻破 https://gds.li/a/2026-11-01/how-we-took-over-chatgpt-accounts AI Sec Watch：Parameter Labs 披露 ChatGPT 攻击链 https://aisecwatch.com/issues/754a1ed8-d6fc-4cec-bfb3-d7b4c59ef817 DataQBS：How We Took Over ChatGPT Accounts https://www.dataqbs.com/blog/en/2026-10-31-how-we-took-over-chatgpt-accounts/ AI News Leader：How We Took Over ChatGPT Accounts https://ainewsleader.com/articles/181548/how-we-took-over-chatgpt-accounts