“点开这个链接就行。” 安全公司 Parameter 10 月 28 日公开了完整链路：一个特制的 ChatGPT 分享链接，点开就能在你的登录会话里跑代码… · @chenYijl · TwKit

@chenYijl

“点开这个链接就行。” 安全公司 Parameter 10 月 28 日公开了完整链路：一个特制的 ChatGPT 分享链接，点开就能在你的登录会话里跑代码，读你的私聊、列你的对话清单，再发到攻击者手里。 漏洞藏在数学库 MathLive 身上：它在主页面装了个消息监听器，不验发送者是谁就把收到的内容当 HTML 渲染，沙箱和内容安全策略一路被绕过去。 最省事的是受害者那头：连预览都不用点，打开链接等上四五秒，攻击自己就跑完了。 OpenAI 10 月 18 日收到报告，26 日修完、定级 P1、给了 5000 美元赏金，赏金猎人圈都说这价给便宜了。 我赌五毛，你手机里现在就躺着至少一条陌生人发的分享链接，你赌不赌？

曝光 85 · 评论 2 · 点赞 1 · 书签 0