ChatGPhish：攻击者如何将 ChatGPT 的网页摘要功能武器化为钓鱼利器

当 ChatGPT 为你总结某个网页时,你通常不会怀疑它回复中出现的那些链接和按钮。这种信任,正是 ChatGPhish 漏洞所要利用的东西。

2026 年 5 月 29 日,安全公司 Permiso Security 公开披露了一项名为 ChatGPhish 的浏览器端提示注入技术,它将 ChatGPT 的网页摘要功能变成了一个钓鱼攻击的交付管道 。与早期那些专注于偷偷窃取数据的攻击不同,这次攻击直接在 AI 助手自己的界面上做手脚——呈现攻击者控制的链接、虚假登录表单和安全提醒,让用户以为这些都是 ChatGPT 提供的正规内容。

以下是这个漏洞的具体原理、它背后那条长长的提示注入漏洞演化史,以及截至发稿时 OpenAI 的表态(或者说,没有表态)。

ChatGPhish 如何操纵 ChatGPT 的 Markdown 渲染器

攻击手法简洁但极具破坏力,因为它撼动了一个基本的信任假设:ChatGPT 的回应渲染器会把来自第三方网页的 Markdown 链接和图片当作受信任的内容来处理,自动加载图片、让链接在助手界面里变成活的可点击元素 。

攻击链条分三步:

1. 制作恶意网页 —— 攻击者搭建一个网页,里面埋着隐藏的 Markdown 链接、图片和极具迷惑性的虚假安全警报。普通人浏览时页面看起来稀松平常,但页内嵌有专门给 ChatGPT 摘要系统看的“指令”。
2. 触发网页摘要 —— 用户要求 ChatGPT 总结这个网页。ChatGPT 处理页面内容时,会把这些攻击者埋进去的 Markdown 净荷当成合法的回应输出来解读。
3. 投放钓鱼净荷 —— 在 ChatGPT 那受信任的界面里,攻击者的链接和警告看起来就像是正常的助手回复。一旦用户点击链接或按提示操作,就会被导向一个窃取凭证的恶意网站、一个恶意文件下载,或一个指向钓鱼站的 QR 码 。

因为 ChatGPT 在渲染 Markdown 内容之前,并未对来自网页的内容进行充分消毒,任何被模型浏览的第三方网页都成了潜在的钓鱼媒介。这不是对 OpenAI 服务器的攻击,而是一个客户端渲染漏洞——它滥用的是用户对 ChatGPT 界面视觉输出的信任。

谱系:通向 ChatGPhish 的提示注入漏洞演化史

ChatGPhish 并非凭空出现。它是多年提示注入技术层层堆叠的最新一章——每当 OpenAI 为 ChatGPT 增添一项新能力(网页浏览、代码执行、插件支持、记忆功能),攻击者总能找到新的注入面。

从早期到 ChatGPhish 的关键节点如下:

• 2022 年 11 月 —— 提示注入的诞生: 在 ChatGPT 上线的 13 天前,提示注入首次被命名并在 GPT-3 上得到验证。ChatGPT 上线后数小时内,就有人通过角色扮演等方式绕过了安全层 。
• 2023–2024 年 —— 间接提示注入与基于 Markdown 的数据外泄: 研究者发现,可以滥用 ChatGPT 的 Markdown 图片渲染来窃取对话数据。攻击者将恶意提示上传到公开网站,当 ChatGPT 与之交互时,回复中便嵌入了自动获取外部 URL 的 Markdown 图片标签,从而泄露数据 。
• 2024 年 5 月 —— 通过记忆功能外泄个人信息: 一项研究表明 ChatGPT 4 和 4o 易受提示注入攻击,能检索用户的个人数据,而记忆功能进一步放大了曝光风险 。
• 2025 年 3 月 —— CVE-2025-43714 (SVG/HTML 注入): 发现 ChatGPT 在浏览器中直接将 SVG 文件内联渲染,而非作为代码块中的纯文本展示,攻击者可利用此注入任意 HTML 代码,直接在 ChatGPT 界面内发起钓鱼攻击 。
• 2026 年 2–3 月 —— DNS 数据外泄与 Markdown 图片注入: Check Point 披露了一个漏洞,可在 ChatGPT 的代码执行环境中,通过 DNS 隧道悄悄窃取对话数据,OpenAI 于 2 月 20 日修复。同月,还出现了利用恶意 Markdown 图片链接,通过 DNS 查询窃取聊天记录、系统提示和用户输入的另一种手法 。
• 2026 年 5 月 —— ChatGPhish: 这一漏洞将多条线索合而为一:间接提示注入、对不可信 Markdown 的渲染,以及网页摘要功能。关键的不同在于,它被武器化用于主动钓鱼——在受信任的界面内呈现实时钓鱼内容,而不仅是偷偷外泄数据 。

这条时间线里每一次都重复着同一个模式:ChatGPT 的新能力打开了一个新注入面,而 Markdown 渲染器则一再暴露出其软肋——它默认信任来自外部页面的内容。

OpenAI 截至 2026 年 5 月底的回应

至 2026 年 5 月 29–30 日,现有报道显示 Permiso Security 已于 5 月 29 日公开披露了 ChatGPhish 漏洞,但并没有看到 OpenAI 针对此漏洞发布任何公开声明或补丁的报道 。

当然,OpenAI 在这段时间在安全方面并非毫无行动,他们处理了两起与 ChatGPhish 无关的事件:

• 2026 年 5 月 13 日 —— OpenAI 公布对 TanStack npm 供应链攻击(代号“Mini Shai-Hulud”)的回应,确认两台员工设备遭入侵,但没有用户数据被访问 。
• 2026 年 5 月 14 日 —— 因同一供应链事件,公司强制要求用户更新 macOS 版 ChatGPT 应用 。

在 ChatGPhish 公开披露之后,OpenAI 迟迟没有响应的这段时间是相当关键的。公众如今已知道,只需要请 ChatGPT 总结一个精心准备的网页,就可以构成一条切实可行的钓鱼通道,而 ChatGPT 的网页摘要功能在此期间依然是暴露的。

更大的图景

ChatGPhish 之所以要紧,是因为它攻击的是“界面信任”这个让 AI 助手得以有用的东西。当 ChatGPT 浏览网页、总结页面并在自己的界面中呈现那些链接时,用户眼前没有一丝视觉信号可以分辨那些链接究竟是来自不可信的第三方,还是来自 OpenAI 自己。

在 OpenAI 推出修复方案之前,允许员工使用 ChatGPT 浏览功能的机构,应当把网页摘要视为一个不可信的内容来源。这一漏洞还凸显出一个反复出现的架构性矛盾:那些将自有界面和第三方数据混合在一起的 AI 助手,需要一个能把所有外部内容都当作潜在敌意的渲染器,而不能仅仅是原样照搬。