OpenAI 已修復 ChatGPT 分享連結漏洞並支付賞金

2026 年 10 月 31 日，Parameter 披露了一處 ChatGPT 賬戶接管漏洞。攻擊方式是向用戶傳送惡意的分享對話連結，受害者只需開啟該連結，無需貼上、登入或進行額外點選，攻擊者即可在約 4.5 秒內以 chatgpt.com 的身份執行 JavaScript，讀取私密對話和會話 token。據該文記載，該漏洞於 10 月 18 日報告，10 月 21 日從 P2 升級為 P1，10 月 26 日修復，相關賞金為 5000 美元。文章還針對同類 postMessage 監聽器給出了 20 行的自查方法。

次日，Techmeme 轉載了 The Hacker News 的報道（引述 Swati Khandelwal），確認研究人員因報告這一 ChatGPT 分享連結漏洞獲得了 OpenAI 支付的 5000 美元賞金，並描述了漏洞後果：惡意分享連結可在任何開啟它的已登入使用者會話中執行攻擊者程式碼。兩篇報道在漏洞描述上一致，僅披露時間不同：Parameter 於 10 月 31 日釋出詳細技術細節，The Hacker News 的報道隨後在 11 月 1 日被 Techmeme 收錄。事件目前停留在漏洞已修復、賞金已支付的階段。