安全公司 Parameter 的研究员 Mukul Goyal 10 月 28 日发文：攻击者可以发布一段公开分享的 ChatGPT 对话，里面放一个正常的交互式图表和一段 HTML 预览；受害者打开分享链接后（最稳定的复现需要点一次预览按钮，设成自动预览时只需打开链接），攻击代码就以 chatgpt.com 的身份在受害者的登录会话里运行，能列出对话列表、读取从未分享过的私人对话并发到外部服务器。研究者称 OpenAI 10 月 26 日修复，定级 P1，赏金共 5000 美元。
置信度：低（40） · 待证实 · 事件时间 2026-10-28
理由
- 攻击链由几个单看都合理的功能拼成：图表加载的数学键盘库 MathLive 在主页面监听跨窗口消息却不校验发送方，还允许传入原始 HTML 写进页面；沙箱里的 HTML 预览借此让主页面插入一个不带沙箱的 iframe，再利用内容安全策略（CSP）白名单里 YouTube oEmbed 接口的 JSONP 回调执行任意脚本。
- 聊天产品加入代码预览、应用等可执行内容后，“沙箱里的代码还能和谁通信”成了新的攻击面。研究者称注入的代码能以受害者身份调用 ChatGPT 网页端的所有登录接口，不限于读对话。
- Hacker News 讨论集中在赏金偏低：不少人认为 P1 级只给 5000 美元，会让研究者不愿意向 OpenAI 上报。
用法
- 普通用户无需操作，研究者称漏洞已修复。做网页端 AI 产品的开发者可以对照文中的防御建议：postMessage 接收方同时校验来源地址和窗口、跨窗口设置里不传原始 HTML、动态创建的文档保持沙箱、CSP 只当最后一道防线。原文在 parameter.ai/labs。
风险
- 目前只有研究者自己的文章，OpenAI 没有公开声明；修复日期、P1 定级和赏金金额都来自研究者给的时间线。
- 漏洞在修复前是否被他人利用过，文章没有说明，OpenAI 也没有披露。