研究人员称，公开的 ChatGPT 分享链接可能在受害者的会话中运行代码；OpenAI 于 10 月 26 日修复了该问题

安全公司 Parameter 于 10 月 28 日发布了一篇文章，称其研究人员发现了一种方法：任何人打开公开的对话分享链接，都可能在其已登录的 ChatGPT 会话中运行攻击者控制的 JavaScript。据文章称，OpenAI 于 10 月 26 日修复了该问题，并将报告定为 P1。

Parameter 对这条攻击链的描述：

• 一段恶意对话将普通的交互式图表与 HTML Preview 组合起来：前者加载 MathLive 数学库，并在主 chatgpt.com 页面中安装消息监听器；后者则向监听器发送消息。监听器不会检查是谁发送了用于更改虚拟键盘布局的消息，而布局中可以包含原始 HTML。
• 这些 HTML 创建了一个未经过沙箱隔离、且带有 chatgpt.com 身份的框架。ChatGPT 的内容安全策略会拦截内联脚本，但允许 YouTube；YouTube 的一个 oEmbed 端点会回显传入的 callback 参数，从而提供脚本。
• 研究人员称，这段代码可以列出受害者的对话、读取一段从未分享过的私人对话，并将其中一部分发送到外部服务器。他们表示，同样的访问权限足以执行受害者账户能够执行的任何操作。用户只需打开分享链接，最多点击一次 Preview。

根据 Parameter 提供的时间线：该公司于 10 月 18 日提交报告；OpenAI 于 10 月 21 日将严重级别从 P2 提升至 P1；修复分阶段部署到两个 Web 前端；10 月 26 日，OpenAI 确认已拒绝报告中提到的消息，并发放了 5,000 美元奖金。该说法来自研究人员本人；文章没有描述有人利用这一漏洞攻击真实用户。