一句话看懂：安全团队 Parameter Labs 披露了一条针对 ChatGPT HTML 预览沙箱的完整攻击链，恶意分享链接可在已登录用户访问时窃取私人数据或代其操作。OpenAI 已修复漏洞并支付 5,000 美元赏金，这一金额与其危害程度并不相称。
事件核心：发生了什么
据 Simon Willison 于 2026 年 10 月 31 日发布的链接博客，Parameter Labs 发现 ChatGPT 的 HTML 预览功能（即此前称为 Canvas 的交互式自定义 HTML 应用，运行在沙箱 iframe 中）存在逃逸可能。攻击链大致分三步：沙箱 iframe 可通过 postMessage() 触发父页面中 MathLive 虚拟键盘的消息接收逻辑，而该逻辑使用 innerHTML 拼接内容，且未限制 HTML 预览帧发起调用；于是不可信 HTML 得以注入一个没有 sandbox 限制的新 iframe；随后借助 CSP 白名单中的 YouTube 域名，通过 oEmbed 端点反射 JavaScript 实现代码执行。
一旦脚本在 ChatGPT 页面内运行，读取用户私有数据并经图片引用外传即可完成。最终形态是一个恶意 ChatGPT 分享 URL：任何已登录用户点开它，都可能泄露账户数据或被以本人身份执行操作。OpenAI 修复了该问题并发放 5,000 美元漏洞赏金。
为什么重要
AI 助手的“可交互 HTML 预览”是当前产品化的重要方向，它把模型输出变成能运行的小应用，但也把浏览器安全的老问题带进了大模型产品。沙箱是否真正隔离、消息通道是否校验来源、CSP 白名单是否留出可利用的反射点，这些细节决定用户数据边界。此次攻击链的每一环单独看都不算严重，组合起来却跨越了聊天界面到账户权限的边界，说明复杂前端集成正在扩大 AI 应用的攻击面。
对用户/开发者/创作者的影响
普通用户在打开他人分享的 ChatGPT 对话或应用链接时，应意识到内容可能包含可执行逻辑，官方修复前不排除同类问题反复出现。对基于 AI 应用平台开发 HTML 小工具的开发者而言，这意味着交付物可能被当作攻击载荷审查，沙箱接口、跨页面消息和第三方脚本白名单都需要按安全边界重新评估。对企业采购方，把“分享链接的权限粒度与内容执行策略”纳入评估清单比只看模型能力更有实际意义。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 OpenAI 是否公开该漏洞的修复方式和白名单调整细节；二是同类 AI 产品的 HTML 预览、自定义应用沙箱是否会被安全研究者系统性审计；三是 5,000 美元赏金是否会引发社区对严重漏洞定价机制的讨论。目前公开信息显示，这是一次已修复的历史漏洞披露，并不代表当前 ChatGPT 仍存在同一问题。
