發生什麼事
Parameter Labs 的研究團隊在 2026 年 10 月發現，一則一般的公開 ChatGPT（OpenAI 的對話式 AI 服務）分享連結，可以在開啟者已登入的工作階段中執行攻擊者控制的 JavaScript（網頁程式語言）。攻擊者先建立惡意對話，用 ChatGPT 正常的分享功能公開，再把連結寄給對方。受害者開啟後，payload（攻擊程式）會以 chatgpt.com 的身分執行，並取得受害者已驗證的網頁工作階段權限。 parameter.ai Simon Willison
攻擊鏈從兩個單獨看來無害的功能開始。其一是 HTML Preview（把 HTML 程式碼區塊變成小型網頁的預覽功能），它在不同網址的受限框架（sandboxed iframe，受限制的內嵌網頁框架）中執行。其二是互動式圖表，圖表會載入 MathLive（處理數學式的 JavaScript 函式庫），並在 ChatGPT 主頁面安裝監聽程式，接收與螢幕鍵盤有關的訊息。受限的 Preview 讀不到主頁面，但能用 postMessage（瀏覽器讓不同框架交換訊息的 API）傳訊息過去。 parameter.ai Simon Willison
依 Parameter Labs 的說明，MathLive 對更改鍵盤版面的設定訊息沒有檢查來源，而版面內容可以包含 HTML。該版面被組成字串後，指派給 innerHTML（把字串當作 HTML 寫入頁面的屬性）。研究團隊接著插入一個使用 srcdoc（讓內嵌框架直接帶 HTML 內容的瀏覽器功能）的 iframe。這個 iframe 沒有 sandbox 屬性，並取得 https://chatgpt.com 的網頁身分，因此能存取父頁面。 parameter.ai Simon Willison
ChatGPT 的 CSP（Content Security Policy，內容安全政策，規定頁面可載入哪些腳本）擋下了內嵌 JavaScript，但允許來自 YouTube 的腳本。YouTube 的 oEmbed 端點支援 JSONP 風格的 callback 參數（JSONP 回應是 JavaScript，而非一般 JSON）。該端點會先把 callback 放進回應，才回傳驗證錯誤。研究團隊在自己提供的 callback（由呼叫端指定、回應開頭會帶上的函式名稱）結尾加上 ;void，依來源說明，這讓 YouTube 附加的物件無害，瀏覽器便把回應當成腳本執行。 parameter.ai Simon Willison
研究團隊確認，這段程式碼能列出受害者的對話清單，讀取從未分享給攻擊者的私人對話內容，並把資料送到外部伺服器。Parameter Labs 表示，payload 可以受害者身分直接呼叫 ChatGPT 的已驗證 API（應用程式介面）。Simon Willison 的整理則指出，可透過圖片參照把資料外送，也能代替受害者執行動作。 parameter.ai Simon Willison
OpenAI 在 10 月 26 日修復此問題，並將回報歸類為 P1（一般指高優先級的問題分級）。Simon Willison 另指出，OpenAI 修補漏洞並支付 $5,000 的漏洞賞金。 parameter.ai Simon Willison
誰受影響
依 Parameter Labs 的說法，受害者不需要安裝 App、加入 Project、貼上程式碼或開啟開發者工具，只要開啟分享連結。攻擊者可用一般分享對話的方式傳送連結，例如電子郵件、聊天、客服單或社群貼文。最穩定的重現方式是受害者開啟分享後，再點一次 ChatGPT 正常的 Preview 按鈕。研究團隊後來把 HTML 區塊標記為可預覽，讓 ChatGPT 自動開啟，此時開啟連結就是受害者唯一的點擊。他們在另一個帳號重現自動路徑三次，包括強制重新整理之後，alert（警示視窗）約在 4.5 秒後出現。 parameter.ai
限制與未定事項
Parameter Labs 說明，第一版可行的攻擊用的是研究人員控制的 ChatGPT App 當發送者，受害者必須先連接或呼叫該 App。改用原生 HTML 附件時，匯出公開分享後附件仍在，但圖表沒有保留，MathLive 的監聽程式也就沒有安裝。最終做法是把真正的圖表與後面由助理撰寫的 HTML Preview 放進同一則公開對話。來源說明，圖表與 Preview 各自獨立載入，payload 偶爾會在 MathLive 就緒之前就送出訊息；最終版會在有限時間內重送同樣兩則訊息來處理這個情況。主頁面中的防護機制讓私人對話證明與對外請求只執行一次。 parameter.ai
各方說法
Simon Willison 指出，OpenAI 過去把這類 artifacts 模式稱為「Canvas」,最新版本看來叫「HTML previews」。Parameter Labs 的文章使用的名稱是 HTML Preview。賞金金額 $5,000 在這兩個來源中只有 Simon Willison 提到，他認為這對如此嚴重的漏洞來說「a bit cheap」（有點便宜）。這是他個人的看法。 parameter.ai Simon Willison
