ChatGPT 公开分享功能被利用导致账户接管漏洞

2026 年 10 月，研究人员在 ChatGPT 中发现一个 P1 级安全漏洞，允许攻击者通过普通公开分享链接劫持用户会话并访问其私有对话数据。该漏洞利用 ChatGPT 的 HTML Preview 功能和 Graph 组件加载的 MathLive 数学库之间的交互缺陷，结合 YouTube oEmbed 接口的 JSONP 回调机制，成功绕过了内容安全策略（CSP），实现了任意 JavaScript 代码在受害者已登录的 chatgpt.com 页面中执行。

技术细节显示，攻击链始于两个看似无害的功能：Graph 组件加载 MathLive 并在主页面注册了 postMessage 监听器，而该监听器未验证消息来源；HTML Preview 则作为不受信任的发送方，向 MathLive 发送包含恶意 HTML 布局的消息。MathLive 将 HTML 注入到主页面后，通过 unsandboxed iframe 和 srcdoc 属性创建了一个继承 chatgpt.com 身份的文档，再通过 YouTube 的 JSONP 响应绕过 CSP 限制，最终实现脚本执行。PoC 证明可枚举用户对话列表、读取未共享的私有对话内容，并通过外部服务器发送数据。

OpenAI 于 10 月 26 日修复该问题，确认两个前端版本均已阻止跨帧 MathLive 消息传递。此次事件表明，即使单个组件设计合理，多个功能组合仍可能形成严重攻击面。防御建议包括：postMessage 接收端必须验证 origin 和 source；避免在未受控输入中渲染原始 HTML；动态生成的文档应保持 sandbox 属性；CSP 应作为纵深防御而非唯一屏障。