一條連結就叮走你的 ChatGPT 帳號：P1 級帳號接管漏洞全記錄
security 圈呢個禮拜最震撼嘅新聞，一定係 Parameter.ai 研究團隊 10 月 28 日公開嘅 ChatGPT 帳號接管漏洞：攻擊者只要叫你撳一條普通嘅「共享對話」連結，就可以喺你嘅登入 session 入面執行任意 JavaScript，讀晒你所有私人對話、檔案，甚至以你名義做任何操作。OpenAI 10 月 26 日確認修復，定性為最高優先級嘅 P1 漏洞，但成條攻擊鏈嘅設計之精妙，令整個 AI 行業嘅安全團隊都要重新審視「功能組合」帶嚟嘅風險。
攻擊鏈拆解：兩個無害功能撞出一個大洞
呢個漏洞最刁鑽嘅地方，係佢唔係任何單一功能嘅錯。ChatGPT 有兩個睇落好正常嘅功能：「圖表繪製」會載入一個叫 MathLive 嘅數學鍵盤庫，而「HTML 預覽」會喺一個隔離嘅沙盒 iframe 入面執行程式碼。沙盒本身守得好足——預覽入面嘅 code 讀唔到主頁面。問題係 MathLive 喺主頁面裝咗一個 message listener，而且接受「任何來源」嘅 postMessage，連 sender 身份都唔驗證。
攻擊者係咁樣串埋一齊嘅：先喺對話入面放一個正常圖表（令主頁面載入 MathLive），再喺後面加一個藏有恶意代码嘅 HTML 預覽。預覽框透過 postMessage 塞入帶 HTML 嘅「虛擬鍵盤佈局」，MathLive 不加檢查就寫入 innerHTML，再透過一個無 sandbox 屬性嘅 srcdoc iframe 繼承 chatgpt.com 身份，最後利用 ChatGPT CSP 白名單入面嘅 YouTube oEmbed JSONP 端點繞過內容安全政策——任意 JavaScript 就咁喺受害者嘅登入頁面度跑起嚟。
研究員證實，payload 可以直接以受害者身份呼叫 ChatGPT 嘅內部 API：枚舉全部對話列表、讀取從未共享過嘅私人對話內容、再將資料送到外部伺服器。由 request 到得手，受害者全程只需要做一件事：打開嗰條 share 連結。唔使裝 App、唔使貼 code、唔使開發者工具。OpenAI 由接報到修復用咗八日，並向研究團隊發出 5,000 美元獎金。
同一週：AI 惡意軟件 VOLTA 學識「幫被害人估值」
無獨有偶，Cisco Talos 同一週（10 月 31 日）公開咗一款叫 VOLTA-AUTODOXER 嘅 Windows 竊密木馬分析，將「AI 犯罪」推到新高度。傳統 info stealer 只係偷完嘢就走，VOLTA 偷完之後仲會將贓物打包成結構化檔案，經 OpenRouter 呼叫大語言模型，要 AI 扮演「法證情報分析師」，為每個受害者寫一份估值報告——包括「呢個人值幾多錢」嘅高中低三級排名，同埋評估佢嘅資安習慣有幾脆弱。
VOLTA 嘅收集範圍駭人：瀏覽器密碼同信用卡、Discord／Telegram／Slack session、Steam 遊戲庫、Microsoft OAuth token、SSH 同雲端設定檔、以至主機上所有 Wi-Fi 密碼。更進取嘅係「即時豐富化」階段——佢會用偷返嚟嘅 Gmail token 搜尋 Amazon、Uber Eats、PayPal 收據嚟確認受害者住址，仲會即場查 Roblox 帳號市值。全部材料整合成 Identity_Report.txt，再交畀 AI 分析，輸出 AI_Analysis.txt。
最值得留意嘅係模型揀選：預設用 Claude Opus 4.6，被拒絕就自動降級到 Kimi K2，再唔得就 Gemini 2.5 Flash——一條專門繞過 AI 安全拒答嘅 fallback 鏈。Talos 形容，呢個 AI 階段嘅新穎之處在於模型唔係幫 malware 做壞事，而係做緊「情報分析師」：將一堆零散憑證升級成有引用、有排名嘅勒索目標檔案。整個 AI 推理過程喺受害者自己嘅機器、用受害者自己嘅網絡完成，之後先至外傳。
兩單新聞合起上睇：AI 安全面臨「內外夾擊」
Parameter.ai 漏洞同 VOLTA 代表 AI 安全威脅嘅兩個新方向。前者係「平台自身嘅組合性風險」：每個功能單獨睇都合理——預覽有沙盒、圖表要數學鍵盤、CSP 允許 YouTube——但五個合理嘅設計疊埋一齊就出事。呢個教訓對所有做 AI 產品嘅團隊都適用：任何可以共享嘅表面都應該當成攻擊者輸入嚟處理，跨 frame 訊息必須驗證來源。
後者就係「AI 武器化嘅商業化」：Talos 分析指 VOLTA 採用 builder 銷售模式，六個可替換插槽由買家自己填 Telegram 頻道同 API key——即係話，AI 估值報告已經係一個「標配功能」，任何技術水平嘅買家都可以攞到排名好嘅勒索目標清單。以往Only high-end黑客先做到嘅情報整理工作，而家係一個 API call 嘅事。
普通用戶可以點自保
兩單事件對普通用戶都有實際啟示。第一，OpenAI 已經修復咗呢條攻擊鏈，但「共享對話連結」呢個攻擊面依然存在——收到嚟歷不明嘅 ChatGPT share 連結，千祈唔好亂撳，尤其係對方慫恿你撳「預覽」按鈕嗰陣。第二，啟用兩步驗證（2FA）永速係最後一道防線，帳號 session 被劫持嘅傷害可以大大降低。第三，VOLTA 呢類竊密木馬主要經盜版軟件同釣魚附件傳播，安裝軟件一定要經官方渠道。
更宏觀咁睇，當 AI 產品嘅功能越嚟越複雜、AI 工具同時成為攻擊者嘅武器庫，安全邊界已經唔可以只靠單一防線。Parameter.ai 研究員嘅總結講得最好：隔離嘅強度，取決於跨越隔離嘅每一道橋——任何一座橋冇守好，成個沙盒都係紙紮嘅。
