事件经过
Parameter Labs披露（2026-10-28，在OpenAI复现后从P2提升至P1），一个公开的ChatGPT共享链接可以在任何打开它并点击一次预览（或在后续变体中仅打开链接）的用户已登录会话内运行攻击者控制的JavaScript。沙箱化的预览框架本身工作正常；逃逸是通过MathLive在chatgpt.com主页面上的跨框架消息监听器，以及一个未沙箱化的iframe和基于YouTube的CSP绕过实现的。OpenAI修复了两个前端版本并奖励了5000美元；未报告真实世界利用。
影响分析
ChatGPT是使用最广泛的AI产品，共享对话链接经常被粘贴到电子邮件、工单和聊天中，收件人将chatgpt.com URL视为可信。该漏洞利用链将普通共享链接转变为认证账户接管和私人对话窃取——这是一种外围控制无法阻止的客户端攻击面，并且这种模式（未验证的postMessage + 宽松的CSP + 丰富的不受信任内容与持有令牌并存）很可能在其他AI聊天/代理平台中重复出现。
攻击途径
存储型/客户端XSS沙箱逃逸通过正常的ChatGPT共享链接传递。包含交互图形的恶意对话加载第三方MathLive库，其虚拟键盘postMessage监听器接受来自任何源的消息，并通过innerHTML将攻击者HTML写入受信任的chatgpt.com页面；注入的HTML生成一个继承chatgpt.com源的未沙箱化iframe，并且使用包含YouTube的CSP白名单来反射可执行JavaScript。攻击者脚本随后从DOM中读取会话访问令牌，并调用ChatGPT的认证API。
受影响系统
ChatGPT Web前端（HTML预览/Canvas工件功能）；根本原因是MathLive数学输入库的跨框架postMessage监听器以及宽松的CSP
缓解措施
OpenAI于2026-10-26在两个受影响的前端版本中修补/修复；无需用户操作。对于构建AI聊天或代理界面的组织：审计每个postMessage监听器和每个渲染模型/用户内容的组件，将可共享对话视为不受信任的输入，收紧CSP白名单。