因为 ChatGPT 在渲染 Markdown 内容之前,并未对来自网页的内容进行充分消毒,任何被模型浏览的第三方网页都成了潜在的钓鱼媒介。这不是对 OpenAI 服务器的攻击,而是一个客户端渲染漏洞——它滥用的是用户对 ChatGPT 界面视觉输出的信任。

谱系:通向 ChatGPhish 的提示注入漏洞演化史

ChatGPhish 并非凭空出现。它是多年提示注入技术层层堆叠的最新一章——每当 OpenAI 为 ChatGPT 增添一项新能力(网页浏览、代码执行、插件支持、记忆功能),攻击者总能找到新的注入面。

从早期到 ChatGPhish 的关键节点如下:

• 2022 年 11 月 —— 提示注入的诞生: 在 ChatGPT 上线的 13 天前,提示注入首次被命名并在 GPT-3 上得到验证。ChatGPT 上线后数小时内,就有人通过角色扮演等方式绕过了安全层 。
• 2023–2024 年 —— 间接提示注入与基于 Markdown 的数据外泄: 研究者发现,可以滥用 ChatGPT 的 Markdown 图片渲染来窃取对话数据。攻击者将恶意提示上传到公开网站,当 ChatGPT 与之交互时,回复中便嵌入了自动获取外部 URL 的 Markdown 图片标签,从而泄露数据 。
• 2024 年 5 月 —— 通过记忆功能外泄个人信息: 一项研究表明 ChatGPT 4 和 4o 易受提示注入攻击,能检索用户的个人数据,而记忆功能进一步放大了曝光风险 。
• 2025 年 3 月 —— CVE-2025-43714 (SVG/HTML 注入): 发现 ChatGPT 在浏览器中直接将 SVG 文件内联渲染,而非作为代码块中的纯文本展示,攻击者可利用此注入任意 HTML 代码,直接在 ChatGPT 界面内发起钓鱼攻击 。
• 2026 年 2–3 月 —— DNS 数据外泄与 Markdown 图片注入: Check Point 披露了一个漏洞,可在 ChatGPT 的代码执行环境中,通过 DNS 隧道悄悄窃取对话数据,OpenAI 于 2 月 20 日修复。同月,还出现了利用恶意 Markdown 图片链接,通过 DNS 查询窃取聊天记录、系统提示和用户输入的另一种手法 。
• 2026 年 5 月 —— ChatGPhish: 这一漏洞将多条线索合而为一:间接提示注入、对不可信 Markdown 的渲染,以及网页摘要功能。关键的不同在于,它被武器化用于主动钓鱼——在受信任的界面内呈现实时钓鱼内容,而不仅是偷偷外泄数据 。

这条时间线里每一次都重复着同一个模式:ChatGPT 的新能力打开了一个新注入面,而 Markdown 渲染器则一再暴露出其软肋——它默认信任来自外部页面的内容。

OpenAI 截至 2026 年 5 月底的回应

至 2026 年 5 月 29–30 日,现有报道显示 Permiso Security 已于 5 月 29 日公开披露了 ChatGPhish 漏洞,但并没有看到 OpenAI 针对此漏洞发布任何公开声明或补丁的报道 。

当然,OpenAI 在这段时间在安全方面并非毫无行动,他们处理了两起与 ChatGPhish 无关的事件:

• 2026 年 5 月 13 日 —— OpenAI 公布对 TanStack npm 供应链攻击(代号“Mini Shai-Hulud”)的回应,确认两台员工设备遭入侵,但没有用户数据被访问 。
• 2026 年 5 月 14 日 —— 因同一供应链事件,公司强制要求用户更新 macOS 版 ChatGPT 应用 。

在 ChatGPhish 公开披露之后,OpenAI 迟迟没有响应的这段时间是相当关键的。公众如今已知道,只需要请 ChatGPT 总结一个精心准备的网页,就可以构成一条切实可行的钓鱼通道,而 ChatGPT 的网页摘要功能在此期间依然是暴露的。

更大的图景

ChatGPhish 之所以要紧,是因为它攻击的是“界面信任”这个让 AI 助手得以有用的东西。当 ChatGPT 浏览网页、总结页面并在自己的界面中呈现那些链接时,用户眼前没有一丝视觉信号可以分辨那些链接究竟是来自不可信的第三方,还是来自 OpenAI 自己。

在 OpenAI 推出修复方案之前,允许员工使用 ChatGPT 浏览功能的机构,应当把网页摘要视为一个不可信的内容来源。这一漏洞还凸显出一个反复出现的架构性矛盾:那些将自有界面和第三方数据混合在一起的 AI 助手,需要一个能把所有外部内容都当作潜在敌意的渲染器,而不能仅仅是原样照搬。

因为 ChatGPT 在渲染 Markdown 内容之前,并未对来自网页的内容进行充分消毒,任何被模型浏览的第三方网页都成了潜在的钓鱼媒介。这不是对 OpenAI 服务器的攻击,而是一个客户端渲染漏洞——它滥用的是用户对 ChatGPT 界面视觉输出的信任。

谱系:通向 ChatGPhish 的提示注入漏洞演化史

ChatGPhish 并非凭空出现。它是多年提示注入技术层层堆叠的最新一章——每当 OpenAI 为 ChatGPT 增添一项新能力(网页浏览、代码执行、插件支持、记忆功能),攻击者总能找到新的注入面。

从早期到 ChatGPhish 的关键节点如下:

• 2022 年 11 月 —— 提示注入的诞生: 在 ChatGPT 上线的 13 天前,提示注入首次被命名并在 GPT-3 上得到验证。ChatGPT 上线后数小时内,就有人通过角色扮演等方式绕过了安全层 。
• 2023–2024 年 —— 间接提示注入与基于 Markdown 的数据外泄: 研究者发现,可以滥用 ChatGPT 的 Markdown 图片渲染来窃取对话数据。攻击者将恶意提示上传到公开网站,当 ChatGPT 与之交互时,回复中便嵌入了自动获取外部 URL 的 Markdown 图片标签,从而泄露数据 。
• 2024 年 5 月 —— 通过记忆功能外泄个人信息: 一项研究表明 ChatGPT 4 和 4o 易受提示注入攻击,能检索用户的个人数据,而记忆功能进一步放大了曝光风险 。
• 2025 年 3 月 —— CVE-2025-43714 (SVG/HTML 注入): 发现 ChatGPT 在浏览器中直接将 SVG 文件内联渲染,而非作为代码块中的纯文本展示,攻击者可利用此注入任意 HTML 代码,直接在 ChatGPT 界面内发起钓鱼攻击 。
• 2026 年 2–3 月 —— DNS 数据外泄与 Markdown 图片注入: Check Point 披露了一个漏洞,可在 ChatGPT 的代码执行环境中,通过 DNS 隧道悄悄窃取对话数据,OpenAI 于 2 月 20 日修复。同月,还出现了利用恶意 Markdown 图片链接,通过 DNS 查询窃取聊天记录、系统提示和用户输入的另一种手法 。
• 2026 年 5 月 —— ChatGPhish: 这一漏洞将多条线索合而为一:间接提示注入、对不可信 Markdown 的渲染,以及网页摘要功能。关键的不同在于,它被武器化用于主动钓鱼——在受信任的界面内呈现实时钓鱼内容,而不仅是偷偷外泄数据 。

这条时间线里每一次都重复着同一个模式:ChatGPT 的新能力打开了一个新注入面,而 Markdown 渲染器则一再暴露出其软肋——它默认信任来自外部页面的内容。

OpenAI 截至 2026 年 5 月底的回应

至 2026 年 5 月 29–30 日,现有报道显示 Permiso Security 已于 5 月 29 日公开披露了 ChatGPhish 漏洞,但并没有看到 OpenAI 针对此漏洞发布任何公开声明或补丁的报道 。

当然,OpenAI 在这段时间在安全方面并非毫无行动,他们处理了两起与 ChatGPhish 无关的事件:

• 2026 年 5 月 13 日 —— OpenAI 公布对 TanStack npm 供应链攻击(代号“Mini Shai-Hulud”)的回应,确认两台员工设备遭入侵,但没有用户数据被访问 。
• 2026 年 5 月 14 日 —— 因同一供应链事件,公司强制要求用户更新 macOS 版 ChatGPT 应用 。

在 ChatGPhish 公开披露之后,OpenAI 迟迟没有响应的这段时间是相当关键的。公众如今已知道,只需要请 ChatGPT 总结一个精心准备的网页,就可以构成一条切实可行的钓鱼通道,而 ChatGPT 的网页摘要功能在此期间依然是暴露的。

更大的图景

ChatGPhish 之所以要紧,是因为它攻击的是“界面信任”这个让 AI 助手得以有用的东西。当 ChatGPT 浏览网页、总结页面并在自己的界面中呈现那些链接时,用户眼前没有一丝视觉信号可以分辨那些链接究竟是来自不可信的第三方,还是来自 OpenAI 自己。

在 OpenAI 推出修复方案之前,允许员工使用 ChatGPT 浏览功能的机构,应当把网页摘要视为一个不可信的内容来源。这一漏洞还凸显出一个反复出现的架构性矛盾:那些将自有界面和第三方数据混合在一起的 AI 助手,需要一个能把所有外部内容都当作潜在敌意的渲染器,而不能仅仅是原样照搬。