一个普通的ChatGPT分享链接，点开就可能丢掉整个账号——安全团队Parameter近日披露的这条漏洞链，刚刚被OpenAI定级为P1高危并完成修复。攻击者不需要诱导受害者安装任何应用、不需要粘贴代码，受害者唯一要做的事，就是打开一个看起来人畜无害的公开分享对话。
研究人员在2026年10月确认了这条攻击路径：恶意代码最终以chatgpt.com的身份在受害者已登录的会话中执行，可以枚举其全部对话列表、读取从未分享过的私密对话内容，并把数据发送到外部服务器。由于代码运行在已认证的网页应用上下文中，它能调用的远不止对话接口，实质上接近接管受害者的ChatGPT账号。
图表、预览与数学键盘拼出的逃逸链
漏洞的起点是两个各自无害的功能。对话中的交互图表会加载数学公式库MathLive，它在ChatGPT主页面安装了一个消息监听器，却没有校验消息来源；另一侧，HTML预览功能运行在隔离框架中，本应无法触碰主页面，却可以向这个监听器投递消息。攻击者用两条消息改写虚拟键盘的布局数据——而布局允许包含HTML——主页面随即用innerHTML把这段HTML渲染了出来。
随后，无sandbox属性的srcdoc内嵌框架让内容继承了chatgpt.com的身份，研究人员再利用YouTube嵌入接口的JSONP回调绕过内容安全策略，最终获得任意JavaScript执行。整条链上每个组件单看都合理：预览有隔离、图表要键盘、框架能通信、策略放行大站脚本，危险只在它们被拼到同一页时才浮现。
两周完成修复，赏金5000美元
时间线显示双方处置很快：10月13日确认消息到HTML的路径，16日实现跨账号公开分享投递，18日提交赏金计划，21日OpenAI复现问题并把等级从P2升至P1，26日确认两个网页前端版本均已拒绝相关跨框架消息、问题关闭，研究人员获得5000美元赏金。自动打开预览的版本中，受害者打开链接约4.5秒后载荷即会触发。
Parameter给出的防御要点并不复杂：跨窗口消息的接收方必须同时校验发送方域名与窗口身份，跨窗口传递的设置数据不应包含原始HTML，不可信内容生成的文档必须保持沙箱隔离，内容安全策略只能当作最后一道防线。AI产品正在把越来越多的可执行内容拼进同一页面，这类组合型漏洞会是接下来一两年的高发区。
分享功能放大了这次漏洞的杀伤半径：攻击链接可以像普通对话一样经邮件、聊天软件、工单或社交帖子传播，研究人员曾在独立账号间三次复现自动触发路径，硬刷新后依然有效。OpenAI在修复期间先通过内容安全策略改动阻断了部分链条，随后才完成两个前端版本的根治，这也说明组合型漏洞的修复往往需要分步推进。