点开 ChatGPT 分享链接，账号就被接管了
We Took over ChatGPT Accounts
我们在 2026 年 10 月发现了一个严重漏洞：攻击者只需创建一个恶意的 ChatGPT 对话并公开分享，受害者点击链接后，恶意 JavaScript 就会在受害者已登录的会话中执行。这利用了 MathLive 图形组件和 HTML Preview 功能的组合缺陷，导致沙箱逃逸。攻击者不仅能读取受害者从未分享的私密对话内容，还能以受害者身份调用 ChatGPT 的认证 API，实现账号完全接管。整个过程无需安装任何应用或输入代码，仅凭一次点击即可完成。OpenAI 已修复该问题并将其定为 P1 级漏洞。
受害者无需安装应用、加入项目、粘贴代码或打开开发者工具，只需打开分享链接，攻击即可得逞。
HN 评论区
142- yellow_lead
> OpenAI 已确认两个前端都拒绝了报告的恶意消息，问题已修复，并颁发了总计 $5,000 的赏金。
这需要先让用户点击一个链接。但我还是觉得这笔赏金太低了。如果赏金这么少，其他人可能就不会上报了。
- Kuyawa
$5000 简直是笑话。他们给顶级开发人员支付数百万美元，平台漏洞却多得像漏勺一样。结果有个好心人指出了你们平台的一个巨大漏洞，你们能给出的唯一奖励就是拍拍他的肩膀？你们是不是把顶级开发人员都开除了，然后花百万美元加期权把这个“好心人”招进来了？你们有没有起诉那家你们花了数百万美元聘请来做安全审计的公司？
我真的希望他们被黑客攻击，然后像兴登堡号飞艇一样在烈火中坠毁。
- usernametaken29
那数百万行代码呢？不是应该由智能体集群（agent swarm）来处理吗？
玩笑归玩笑，这正是构建大型单体应用时会发生的情况：系统复杂性和漏洞表面积呈对数级增长……所以，说正经的，你应该尽可能减少代码行数（LOC）。也许这能给 OpenAI 一个教训，让他们生产正确的软件，遵守既定的工程标准，而不是搞那些“我们写了这么多代码”的夸张宣传。
- jareklupinski
> 仅通过发送一个链接就能接管任何人的账号
别乱点链接啊，朋友们。
请把这 $500k 作为安全培训费。
- lxgr
哎哟。再加上已知可以通过 ChatGPT 桌面应用启动的“工作”（Work）聊天远程访问计算机文件系统这一事实 [1]，这情况看起来相当糟糕。
- dumberquestions
现在没人自己写博客了吗？
- htk
5k 的赏金让我觉得，下一个发现漏洞的人可能会把漏洞卖给黑市。
- 6thbit
感谢这篇逐步扩展 PoC 范围的详细文章。
我喜欢其中使用的一系列传统老派技术来实现攻击，比如 post message、JSONP、iframe 和 Img 标签。