OpenAI 已修复 ChatGPT 分享链接漏洞并支付赏金

2026 年 10 月 31 日，Parameter 披露了一处 ChatGPT 账户接管漏洞。攻击方式是向用户发送恶意的分享对话链接，受害者只需打开该链接，无需粘贴、登录或进行额外点击，攻击者即可在约 4.5 秒内以 chatgpt.com 的身份执行 JavaScript，读取私密对话和会话 token。据该文记载，该漏洞于 10 月 18 日报告，10 月 21 日从 P2 升级为 P1，10 月 26 日修复，相关赏金为 5000 美元。文章还针对同类 postMessage 监听器给出了 20 行的自查方法。

次日，Techmeme 转载了 The Hacker News 的报道（引述 Swati Khandelwal），确认研究人员因报告这一 ChatGPT 分享链接漏洞获得了 OpenAI 支付的 5000 美元赏金，并描述了漏洞后果：恶意分享链接可在任何打开它的已登录用户会话中执行攻击者代码。两篇报道在漏洞描述上一致，仅披露时间不同：Parameter 于 10 月 31 日发布详细技术细节，The Hacker News 的报道随后在 11 月 1 日被 Techmeme 收录。事件目前停留在漏洞已修复、赏金已支付的阶段。