- Parameter Labs表示，攻击者可通过向受害者发送链接接管ChatGPT账户。
- Parameter Labs表示，该漏洞利用可获取私人对话内容并将其发送到外部服务器。
- Parameter Labs表示，OpenAI于10月26日修复了该问题，并将报告定为P1。
OpenAI于10月26日修复了一个ChatGPT漏洞，此前Parameter Labs表示，攻击者可通过向受害者发送链接接管账户。研究人员表示，他们是通过绕过ChatGPT的沙箱和内容安全策略做到这一点。
Parameter Labs表示，打开恶意共享对话可能允许代码枚举对话、获取私人对话内容并将其发送到外部服务器。该机构表示，有效载荷还可以代表受害者调用ChatGPT的已认证API。
据研究人员称，该攻击链结合了ChatGPT的图表和HTML预览功能。Parameter Labs于2026年10月发现了该漏洞，并表示OpenAI复现了JavaScript执行和私人对话证明。
ChatGPT的图表和HTML预览功能构成攻击链
Parameter Labs表示，该攻击链始于图表和HTML预览。MathLive接受了状态变更消息，但未验证发送消息的框架，而消息格式允许将原始HTML作为键盘布局数据。
Parameter Labs表示，在一个独立账户中，它三次复现了自动打开预览的路径，包括硬刷新之后。在这些测试中，警报约在4.5秒后出现。
打开共享链接是受害者唯一需要执行的操作
Parameter Labs表示，攻击者可以创建恶意对话，通过ChatGPT的常规共享功能发布，然后将链接发送给另一名用户。受害者无需安装应用、加入项目、粘贴代码或打开开发者工具。
研究人员表示，生成的代码可以枚举受害者的对话列表，获取一个从未与攻击者共享的私人对话中的内容，并将该对话的数据发送到外部服务器。
OpenAI复现了证明并颁发5,000美元漏洞赏金
Parameter Labs表示，OpenAI复现了JavaScript执行和私人对话证明。该机构表示，OpenAI确认两个网页前端均拒绝了报告中的消息，并发放了总计5,000美元的赏金。
Parameter Labs于10月28日发布了报告。Simon Willison于10月31日发布了另一份报告，并表示OpenAI关闭了该漏洞并支付了5,000美元漏洞赏金。
Parameter Labs表示，OpenAI将报告定为P1，并于10月26日修复了该问题。OpenAI确认两个ChatGPT网页前端均拒绝了报告中的消息，并解决了该问题。
Parameter Labs建议，postMessage接收器在接受状态变更指令前，同时验证event.origin和event.source；当不受信任的框架可以影响动态创建文档的内容时，应继续对这些文档进行沙箱隔离。
防守方现在要做什么
- 在接受状态变更指令前，同时验证event.origin和event.source。
- 当动态创建文档的内容可能受到不受信任框架影响时，继续对其进行沙箱隔离。
常见问题
沙箱逃逸攻击链对ChatGPT账户造成了什么影响？
Parameter Labs表示，攻击者可以通过向受害者发送指向恶意共享对话的链接接管ChatGPT账户。
ChatGPT漏洞可能暴露什么？
Parameter Labs表示，该漏洞利用可以枚举对话列表、获取私人对话内容并将数据发送到外部服务器。该机构还表示，该漏洞利用可以代表受害者调用ChatGPT的已认证API。
受害者是否需要安装任何东西才能触发ChatGPT漏洞利用？
不需要。Parameter Labs表示，打开共享链接是唯一需要执行的操作，受害者无需安装应用、加入项目、粘贴代码或打开开发者工具。
ChatGPT沙箱逃逸是如何实现的？
该攻击链结合了ChatGPT的图表和HTML预览功能。Parameter Labs表示，MathLive接受的消息可以提供原始HTML，从而创建继承chatgpt.com身份的未沙箱化文档。
OpenAI何时修复了ChatGPT漏洞？
Parameter Labs表示，OpenAI于10月26日修复了该问题，将报告定为P1，并确认两个ChatGPT网页前端均拒绝了报告中的消息。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Parameter Labs表示，攻击者可通过向受害者发送链接接管ChatGPT账户。 | Parameter Labs | 引述 |
| Parameter Labs于2026年10月发现了该漏洞。 | Parameter Labs | 引述 |
| Parameter Labs表示，攻击者可以通过ChatGPT的常规共享功能发布恶意对话，并将其发送给另一名用户。 | Parameter Labs | 引述 |
| Parameter Labs表示，打开共享链接是受害者唯一需要执行的操作。 | Parameter Labs | 引述 |
| Parameter Labs表示，该漏洞利用可以枚举对话、获取私人对话内容并将其发送到外部服务器。 | Parameter Labs | 引述 |
| Parameter Labs表示，该漏洞利用可以直接代表受害者调用ChatGPT的已认证API。 | Parameter Labs | 引述 |
| Parameter Labs表示，该攻击链结合了ChatGPT的图表和HTML预览功能。 | Parameter Labs | 引述 |
| Parameter Labs表示，mathLive接受了状态变更消息，但未验证发送消息的框架。 | Parameter Labs | 引述 |
| Parameter Labs表示，消息格式允许将原始HTML作为键盘布局数据。 | Parameter Labs | 引述 |
| Parameter Labs表示，提供的HTML可以创建继承ChatGPT身份的未沙箱化文档。 | Parameter Labs | 引述 |
| Parameter Labs复现了三次自动打开预览，包括硬刷新之后。 | Parameter Labs | 引述 |
| Parameter Labs表示，openAI于10月26日修复了该问题，并将报告定为P1。 | Parameter Labs | 引述 |
| Parameter Labs表示，openAI复现了JavaScript执行和私人对话证明。 | Parameter Labs | 引述 |
| Parameter Labs表示，openAI确认两个ChatGPT网页前端均拒绝了报告中的消息，并解决了该问题。 | Parameter Labs | 引述 |
| Simon Willison报道，OpenAI关闭了该漏洞并支付了5,000美元漏洞赏金。 | Simon Willison | 引述 |
| simonwillison.net于2026年10月31日发布了报告。 | simonwillison.net | 已证实 |
| parameter.ai于2026年10月28日发布了报告。 | parameter.ai | 已证实 |
未能核实
- 该漏洞是否在现实环境中被利用尚未确定
- OpenAI是否分配了CVE尚未确定
- 有多少ChatGPT账户或用户受到影响尚未确定
- 攻击者是否在研究人员演示之外使用了该漏洞尚未确定
