ChatGPhish：黑客利用 ChatGPT 網頁摘要功能發動釣魚攻擊

當 ChatGPT 幫你總結一個網頁嘅時候，你自然會相信佢顯示出嚟嘅連結同按鈕。講緊嘅「ChatGPhish」漏洞，就正正係利用你呢份信任。

由安全公司 Permiso Security 喺 2026 年 5 月 29 日公開嘅 ChatGPhish，係一種針對瀏覽器嘅提示注入（Prompt Injection）技術，將 ChatGPT 嘅網頁摘要功能變成釣魚攻擊嘅發布平台 。有別於以前純粹偷數據嘅攻擊，今次黑客係直接利用 ChatGPT 嘅介面，將由攻擊者控制嘅釣魚連結、虛假登入表單同安全警報，包裝成好似係 ChatGPT 嘅正常回覆。以下就同大家拆解攻擊原理、佢嘅來龍去脈，以及截至公開當日 OpenAI 做咗同未做啲咩。

ChatGPhish 點樣利用 ChatGPT 嘅 Markdown 渲染器？

呢個攻擊直接到不得了，但好有效，因為佢攻擊緊一個好基本嘅信任假設：ChatGPT 嘅回應渲染器會將嚟自第三方頁面嘅 Markdown 連結同 Markdown 圖片網址，當成可信內容，自動擷取圖片，仲將連結變做可以撳嘅嘢，直接顯示喺助手介面入面 。

攻擊鏈分三步：

1. 製作惡意網頁 — 黑客會建立一個睇落正常嘅網頁，但入面收埋咗隱藏嘅 Markdown 連結、圖片，同埋好有說服力嘅虛假安全警報。呢啲指令係專登設計俾 ChatGPT 嘅摘要系統去解讀。
2. 觸發摘要功能 — 當用家叫 ChatGPT 去總結呢個網頁嗰陣，ChatGPT 會處理網頁內容，最關鍵係，佢會將黑客嘅 Markdown 指令，錯誤咁當成合法嘅回應內容去處理。
3. 放出釣魚內容 — 喺你信得過嘅 ChatGPT 介面入面，黑客嘅連結同警報就咁出現咗，睇落同普通助手回覆冇分別。當用家一撳落去，就會俾人帶去一個釣魚網站、惡意下載連結，或者一個引你去釣魚網站嘅 QR code 。

因為 ChatGPT 喺顯示網頁內容之前，冇徹底咁過濾 Markdown 內容，所以任何呢個模型瀏覽過嘅第三方網頁，理論上都可以變成釣魚工具。呢個唔係攻擊 OpenAI 伺服器嘅漏洞，而係針對用戶端顯示嘅弱點，利用用家對 ChatGPT 介面嘅信任。

前世今生：通往 ChatGPhish 嘅提示注入漏洞之路

ChatGPhish 唔係突然爆出嚟。佢係過去幾年來，隨住 OpenAI 每次為 ChatGPT 加入新功能（例如網頁瀏覽、程式碼執行、外掛程式、記憶功能），黑客就不斷升級提示注入技術嘅最新一章。

以下係通往 ChatGPhish 嘅幾個關鍵里程碑：

• 2022 年 11 月 — 提示注入嘅誕生： 提示注入呢個概念，喺 ChatGPT 於 2022 年 11 月 30 日推出前 13 日，就已經俾人喺 GPT-3 身上示範過。ChatGPT 推出幾個鐘之內，用家就已經透過角色扮演嘅方式，繞過咗佢嘅安全防護 。
• 2023–2024 年 — 間接提示注入同利用 Markdown 偷數據： 研究人員發現，可以濫用 ChatGPT 嘅 Markdown 圖片顯示功能嚟洩漏對話資料。黑客將惡意指令上傳到公開網站；當 ChatGPT 同呢啲網站互動嗰陣，就會用 Markdown 圖片標籤去自動載入外部網址，順便將偷到嘅數據送出去 。
• 2024 年 5 月 — 透過提示注入偷取個人資料： 一篇研究論文指出，ChatGPT 4 同 4o 好易受到提示注入攻擊，令黑客可以偷到用家嘅個人資料，而 ChatGPT 嘅記憶功能更加放大咗呢個風險 。
• 2025 年 3 月 — CVE-2025-43714 （SVG/HTML注入）： 有人發現 ChatGPT 會喺瀏覽器入面直接顯示 SVG 檔案，而唔係喺程式碼區塊入面顯示純文字。呢個漏洞令黑客可以注入任意 HTML 程式碼，直接喺 ChatGPT 介面度發動釣魚攻擊 。
• 2026 年 2–3 月 — 利用 DNS 偷數據同 Markdown 圖片注入： Check Point 公開咗一個 ChatGPT 程式碼執行環境嘅漏洞，黑客可以利用 DNS 隧道（DNS tunneling）偷走對話數據。OpenAI 喺 2026 年 2 月 20 日修復咗。同月，又出現另一種利用惡意 Markdown 圖片連結，透過 DNS 查詢去偷取聊天記錄、系統提示同用家輸入嘅手法 。
• 2026 年 5 月 — ChatGPhish： 呢個漏洞結合咗幾個技術線索：間接提示注入、唔可信嘅 Markdown 渲染，同埋網頁摘要功能。最大分別係，ChatGPhish 被用嚟做主動式釣魚攻擊——喺可信嘅 ChatGPT 介面入面展示即時釣魚內容——而唔係純粹偷偷摸摸咁偷數據 。

你睇返呢條時間線，就會發現一個模式：每次 ChatGPT 加新功能，就會開咗一個新嘅注入缺口，而 Markdown 渲染器就係成日出事嗰個，因為佢一直默認信任嚟自外部頁面嘅內容。

OpenAI 截至 2026 年 5 月底嘅回應

截至 2026 年 5 月 29–30 日，現有嘅報導記錄咗 Permiso Security 喺 5 月 29 日公開咗 ChatGPhish 漏洞，但就冇任何關於 OpenAI 針對呢個漏洞發表公開聲明或者出修復程式嘅消息 。

咁樣並唔代表 OpenAI 喺安全方面冇做嘢。公司喺 2026 年 5 月處理緊兩單同 ChatGPhish 無關嘅安全事故：

• 2026 年 5 月 13 日 — OpenAI 就 TanStack npm 供應鏈攻擊（又叫「Mini Shai-Hulud」）發表回應，確認有兩部員工嘅裝置俾黑客入侵，但冇用戶資料受到影響 。
• 2026 年 5 月 14 日 — 因為同一單供應鏈事故，OpenAI 強制要求用戶更新佢哋嘅 macOS 版 ChatGPT 應用程式 。

由 ChatGPhish 被公開，去到 OpenAI 有冇任何表示，呢個時間差好關鍵。呢個意味住 ChatGPT 嘅網頁摘要功能喺呢段時間仍然曝露喺風險之中，而公眾而家知道咗，只要有人叫 ChatGPT 去總結一個精心設計過嘅網頁，就可以行到呢條釣魚路徑。

更闊嘅背景同啟示

ChatGPhish 之所以咁重要，係因為佢攻擊緊令 AI 助手變得實用嘅「介面信任」。當 ChatGPT 幫你上網、總結網頁、然後喺自己個介面度顯示連結嘅時候，用家冇任何視覺提示，去分辨呢啲連結其實係嚟自一個唔可信嘅第三方，定係 OpenAI 官方嘅內容。

喺 OpenAI 出修復程式之前，任何畀員工用 ChatGPT 瀏覽功能嘅公司，都應該將網頁摘要視為唔可信嘅內容來源。呢個漏洞亦再次突顯一個反覆出現嘅結構性矛盾：AI 助手將自家嘅介面同第三方數據溝埋一齊嗰陣，需要一個會將所有外部內容都當成潛在威脅嘅渲染器，而唔係齋當佢係顯示文字。