一个公开分享链接就能接管你的 ChatGPT：漏洞已修，但它暴露的是“沙箱外还有个听众”

安全公司 Parameter 在 10 月 28 日公开了一个已经修好的 ChatGPT 漏洞，链条值得每个常用分享链接的人读一遍。攻击者先正常发布一条公开对话，里面同时放一张交互图表和一段 HTML 预览代码。HTML 预览本身是关在沙箱里的，读不到主页面；但图表加载的数学库 MathLive，却在主页面 chatgpt.com 上装了一个监听器，默认接受任何来源发来的消息，还不核对发消息的窗口是不是自己人。于是沙箱里的预览向这个监听器发消息，把一段攻击者写的 HTML 塞进主页面；这段 HTML 里再嵌一个没有沙箱属性的 iframe，它由主页面创建、也就继承了 chatgpt.com 的身份，最后借一个 YouTube 接口特性绕过内容安全策略、真正执行了代码。研究者用自己控制的两个账号演示：打开链接的人的对话列表能被枚举，一段从未分享过的私人对话能被读走、发到外部服务器。时间线是：10 月 18 日上报、10 月 21 日 OpenAI 复现并把严重度从 P2 提到 P1、10 月 26 日两个前端版本全部修复、赏金 5000 美元；研究者报告称没有发现真实滥用，也没有 CVE 编号。

我的判断：这个漏洞最该记住的不是某一个库的名字，而是“沙箱没破、但沙箱外有个不设防的听众”这种结构。单个功能各自看都没问题——预览关在沙箱里是对的，图表库监听键盘消息也是为了功能——拼在一起就成了一条路。对普通用户，今天的结论很简单：这条链已被服务端修复，打开旧的恶意分享链接不会再触发它，不需要你做什么；但“陌生人发来的分享链接，登录状态下随手点开”这个习惯本身仍有风险，下次换一个没修好的链条，代价还是你的对话。对自己做 Web 产品的人，检查项也只有一个：凡是处理“改设置”类消息的监听器，必须同时核对消息来源和发送窗口，缺一个都不行。

什么情况下这篇结论不成立：你从不点陌生人发来的分享链接、或者点开时根本没登录，那这条链够不着你；另外，MathLive 在 10 月 31 日发布的 0.111.2 版已把默认改成同源校验，但该版本说明里没提 ChatGPT、也没法确认是不是这次报告促成的——别把“库更新了”等同于“所有用到它的产品都安全了”，各产品自己的补丁状态要单独看。