ChatGPT 預覽功能被找到漏洞：點開分享連結就可能被偷資料？已修補嗎、要怎麼防

朋友傳來一個 ChatGPT 分享連結，你順手點開，會有風險嗎？根據資安團隊 Parameter Labs 的研究，在漏洞被補上之前，答案是會。

只要你當時是登入狀態，這個連結就可能讓你的私人資料被送到別人手上。部落客 Simon Willison 在 2026 年 10 月 31 日整理了這份研究，並提到 OpenAI 已經把洞補起來。

這不是一般人會遇到的「密碼外洩」，而是一個藏在新功能裡的設計疏漏。以下用白話拆解它怎麼成立，也講清楚哪些事我們知道，哪些事官方沒有說。

一個分享連結，為什麼能碰到你的對話紀錄

ChatGPT 現在可以把程式碼直接在對話裡「預覽」出來。官方說明頁寫得很清楚，支援的預覽包括 HTML 網頁、React 元件、SVG 圖片、Mermaid 圖表，以及 Vega 圖表。

這些預覽會跑在一個「沙盒」裡。沙盒的意思是，網頁裝在一個隔離的小房間，不能隨便碰外面的東西。官方也說，程式碼預覽與執行都使用沙盒環境。

問題出在，這個小房間的牆不夠厚。Parameter Labs 找到一條很複雜的路，讓房間裡的程式碼一步步走到房間外面。

Simon Willison 指出，最後的結果是：有人可以做出一個 ChatGPT 分享網址。另一位已登入的使用者一旦點開，就可能被讀走私人資料，甚至被代為操作。

攻擊是怎麼一關一關闖過去的

這個攻擊不是靠一個大漏洞，而是把幾個小缺口接在一起。我們用生活的比喻來講。

第一個缺口，在 ChatGPT 的圖表功能。OpenAI 用了一套叫 MathLive 的程式庫，它自帶一個虛擬鍵盤。沙盒裡的網頁可以傳訊息，請外面的主頁面把這個鍵盤叫出來。

第二個缺口，在於主頁面處理這則訊息的寫法。它用了 innerHTML，白話說就是「對方傳什麼文字，我就原樣放進頁面」。而且沒有任何機制擋住其他沙盒，包括預覽用的沙盒，去呼叫這個功能。

於是沙盒裡的不可信程式碼，就能往主頁面塞進一段 HTML。雖然 innerHTML 不會直接執行腳本，但可以塞進一個全新的 iframe，而這個新 iframe 沒有沙盒限制。

第三個缺口，是 OpenAI 的內容安全政策。這套規則本來擋住了行內腳本，也只允許少數幾個網域載入腳本。但名單裡有 YouTube，而 YouTube 的 oEmbed 端點可以把 JavaScript 反射回來，讓它真的被執行。

走到這一步，攻擊者的程式碼已經在 ChatGPT 的頁面裡跑了。Simon Willison 形容接下來「很簡單」：向 API 要私人資料，再用一個圖片請求把資料送出去。

官方說明頁寫了什麼，沒寫什麼

問問貓這次讀了 OpenAI 的官方說明頁，標題是「Working with writing blocks and code blocks in ChatGPT」。它是在介紹寫作區塊與程式碼區塊怎麼用，並不是資安公告。

頁面裡跟這件事最相關的，是兩句話。第一句是預覽與執行都在沙盒環境；第二句是預覽需要外部資源時，ChatGPT 可能會先請你同意再連線。

另外，工作區管理員可以控制程式碼執行與網路存取是否開放。這對公司或團隊帳號是實用的選項，個人帳號則看不到這層控制。

至於漏洞本身，官方這頁完全沒有提到。漏洞的修補時間、有沒有人在實際攻擊中用過它、有多少帳號受影響，官方沒有公布。

要特別說明的是，Simon Willison 提到這個功能以前叫 Canvas，最新版本似乎叫 HTML previews。官方頁面用的是「Preview」與「code blocks」，兩邊名稱不完全一樣。問問貓不替官方做對應，讀者看到名稱不同時請留意。

另外，今天的新聞標題寫的是 Floot in ChatGPT，但兩份原文都沒有出現 Floot 這個名字。所以這篇只談能從原文確認的內容，不替它補任何說明。

賞金怎麼看：官方付了，但部落客覺得太少

Simon Willison 提到，OpenAI 關閉了這個漏洞，並付出一筆漏洞賞金。他的評價是，對這麼嚴重的漏洞來說，這個金額「有點便宜」。

這是他個人的看法，不是官方說法。問問貓的角度是：賞金高低會影響研究者願不願意把發現交給原廠，而不是賣給別人。

一個能偷走登入者私人資料的連結，影響的不只是一個人，而是所有會點分享連結的人。這種風險值得被更認真地對待。

一般使用者現在可以怎麼做

先講好消息。依 Simon Willison 的說法，這個洞已經關閉，你不需要因此刪帳號或換密碼。但原文沒有說修補的確切時間，也沒有說過去是否有人被攻擊，所以我們不能替官方打包票。

問問貓建議三個很實際的習慣。

第一，來路不明的分享連結不要在已登入的瀏覽器裡直接點。陌生人傳來的連結，尤其要多想一下。

第二，ChatGPT 若跳出要連到外部資源的詢問，不要習慣性按同意。官方說明頁特別提到有這個詢問，就是為了讓你有機會說不。

第三，如果你在公司使用 ChatGPT，可以請管理員確認程式碼執行與網路存取的設定。官方說明頁明確寫了管理員可以控制這兩項。

問問貓的判斷

這件事給我們的最大提醒是，AI 工具的新功能越方便，牆就越容易出現縫。能預覽網頁、能跑程式碼，等於讓聊天視窗變成一個小型瀏覽器，而瀏覽器的老問題，也就跟著搬進來了。

值得肯定的是，這次洞是被外部研究團隊找到，並且已經關上。壞消息是，官方說明頁對這件事隻字未提，使用者只能從部落客的文章得知。

問問貓的看法是，這類漏洞不會是最後一個。判斷一個 AI 工具值不值得長期用，除了看功能，也要看它出事之後講得清不清楚。

這則消息跟價格調整、方案變動或免費額度無關，所以本篇不談錢。想看 ChatGPT 的方案與本站逐日查核紀錄，可以到本站的 ChatGPT 工具頁（/tools/chatgpt/）。

同類工具怎麼做：原文沒有答案，但有線索可看

讀到這裡，很多人會想問，其他 AI 工具有沒有一樣的問題。老實說，兩份原文都沒有拿別家產品來比較。其他業者有沒有類似的漏洞，官方沒有公布，部落客也沒有提。所以問問貓不替任何同業下判斷。不過，我們還是可以換個角度，看這類功能是怎麼設計的。官方說明頁列出的預覽類型有五類。包括 HTML 網頁與 React 元件。也包括 SVG 圖片。還有 Mermaid 圖表與 Vega 圖表。這次漏洞談的是 HTML 預覽。其他幾類預覽是否受影響，原文沒有說。

再看防護的分層。官方頁面提到三件事。第一，預覽與執行都在沙盒裡。第二，預覽需要外部資源時，ChatGPT 可能先請你同意。第三，工作區管理員可以控制程式碼執行與網路存取。這次的攻擊，是從第一層的沙盒被繞過開始。原文說，攻擊者最後塞進了一個沒有沙盒限制的 iframe。至於第二層與第三層能不能擋住，原文沒有討論。

還有一點容易被忽略。官方說，可用動作會依方案、裝置、設定與推出進度而異。這也意味著，每個人實際用到的功能可能不一樣。這次漏洞影響哪些方案與設定，官方沒有公布。另外，Simon Willison 提到，這個功能以前叫 Canvas。最新版本似乎叫 HTML previews。同一個功能的名稱換過，顯示它還在快速演進。功能越新，被人從意想不到的角度檢查的機會就越多。

如果你想自己比較不同的 AI 工具，建議去翻各家的說明頁。可以先看三個問題。第一，預覽或執行程式碼時，有沒有明講使用沙盒。第二，連到外部資源前，會不會先問你。第三，團體帳號的管理員，能不能把這些功能關掉。這三題的答案，比功能清單上的亮點更能看出一家產品的謹慎程度。

台灣讀者的日常情境，以及接下來要盯哪些事

先想幾個台灣人常見的情境。你在工作群組裡，看到同事貼出一個 ChatGPT 分享連結。你在家長群組裡，收到別人轉來的連結。你是接案者，客戶傳來一份用連結分享的對話。這些情境都很日常，也都很容易順手一點。依原文的說法，風險出現在一個條件：你點開時正好是登入狀態。所以這不是要你從此不點連結，而是要多一個停頓。

這個停頓可以很簡單。如果連結來自不太熟的人，可以先用沒登入的瀏覽器視窗開啟。原文說的受害情境是已登入的使用者，沒登入就少了這個條件。不過，原文沒有驗證各種開法的結果。所以這只是降低風險，不是保證。如果對方是熟人，也可以先問一句，連結是不是他自己做的。多問一句不吃虧。

接下來，有幾件事值得觀察。第一，OpenAI 會不會發出正式的安全說明。目前官方說明頁完全沒有提到這個漏洞。第二，修補的確切時間。原文沒有說，官方也沒有公布。第三，有沒有人真的被攻擊過。這一點同樣沒有任何公開數字。第四，說明頁的內容會不會調整。這份官方頁面抓取時顯示更新於 4 天前，之後若有變動，值得再讀一次。第五，賞金的討論會不會延燒。Simon Willison 認為金額偏低。其他研究者怎麼想，原文沒有記錄。

最後提醒，對一般人來說，不需要因此恐慌。這個洞依部落客的說法已經關閉。真正該養成的，是把陌生的分享連結當成可能帶有內容的東西。因為現在的聊天視窗能預覽網頁，也能跑程式碼。下次看到 Preview 或 Run 按鈕時，想一想背後那層沙盒。沙盒很有用，但這次證明它也可能有縫。